Ingen føderal lov forbyr løsepengebetalinger, men det er ikke hele sannheten

En nylig juridisk veiledning fra Spodek Law Group peker på noe som overrasker mange organisasjoner som rammes av løsepengevirus: det finnes ingen føderal lov som kategorisk forbyr å betale løsepenger. Dette gjelder selv når angriperens identitet er ukjent på betalingstidspunktet. For selskaper som står overfor krypterte systemer, stjålne kundedata og økende driftsstans, kan dette høres ut som et grønt lys for bare å betale og gå videre.

Det er det ikke. Fraværet av et generelt strafferettslig forbud betyr ikke at løsepengebetalinger er risikofrie. Den reelle eksponeringen kommer fra en helt annen kant: sanksjonslovgivningen som håndheves av finansdepartementets Office of Foreign Assets Control, OFAC.

Der OFAC-sanksjonene kommer inn i bildet

OFAC fører lister over blokkerte personer, enheter og jurisdiksjoner knyttet til nettkriminalitet, statsstøttet hacking og annen ulovlig aktivitet. Dersom en løsepengebetaling havner hos en sanksjonert person eller et land som er omfattet av omfattende sanksjoner, kan offerorganisasjonen, og noen ganger mellomleddene som tilrettela betalingen, bli ilagt sivile bøter uavhengig av hensikt. Med andre ord trenger et selskap ikke bevisst å sende penger til en sanksjonert aktør for å komme i konflikt med regelverket; det trenger bare å sende dem, punktum.

Dette er et rammeverk med objektivt ansvar, og det er nettopp derfor hendelseshåndtering har blitt like mye en juridisk øvelse som en teknisk. Vår tidligere dekning av hvordan løsepengebetalinger risikerer OFAC-sanksjoner går nærmere inn på denne dynamikken: hendelsesresponsteam kobler nå rutinemessig inn eksterne advokater og sanksjonsscreeningsspesialister før de godkjenner noen betaling, nettopp fordi feil pengeoverføring kan gjøre et datainnbrudd til en regulatorisk håndhevelsessak.

Myndighetene har også vist at de er villige til å sanksjonere infrastruktur som muliggjør løsepengevirus, ikke bare angriperne selv. Finansdepartementets beslutning om å sanksjonere en VPN-tjeneste knyttet til løsepengevirksomhet, dekket i vår rapport om Finansdepartementets første VPN-sanksjonsaksjon, signaliserer at håndhevingsnettet strekker seg langt utover personene som skriver løsepengebeskjeder. Alle i betalings- eller hvitvaskingskjeden, inkludert tjenester som anonymiserer pengesporet, kan bli et mål.

Personvernvinkelen ofrene ofte overser

Mens det meste av dekningen av løsepenge-sanksjoner fokuserer på den økonomiske og juridiske eksponeringen for det betalende selskapet, er det en personverndimensjon som fortjener mer oppmerksomhet. Når en organisasjon betaler løsepenger, gjør den det ofte for å hindre at stjålne personopplysninger (kundeopplysninger, helseopplysninger, ansattfiler) blir offentliggjort eller solgt. Men betaling garanterer ikke at dataene slettes eller at de ikke dukker opp igjen senere. Angripere som allerede har eksfiltrert sensitive opplysninger beholder kontrollen selv etter at en betaling er utført, og det finnes ingen håndhevbar mekanisme som tvinger dem til å overholde et løfte om sletting.

Denne virkeligheten har utspilt seg offentlig. Vårt nylige stykke om hvordan løsepengebetalinger faller mens 23andMe inngår forlik for 18 millioner dollar viser hvordan ettervirkningene av et datainnbrudd kan fortsette lenge etter enhver løsepengebeslutning, der berørte enkeltpersoner bærer konsekvensene av eksponerte genetiske data og personopplysninger uavhengig av hva selskapet bestemte seg for å betale. For forbrukere er sanksjonsdebatten som foregår i styrerom og advokatkontorer i realiteten en stedfortrederkamp om hvorvidt dataene deres forblir private.

Rettssystemets utfall legger til enda et lag med kontekst. Den 16-årige dommen mot en hacker bak Ransom Cartel-operasjonen, beskrevet i vår dekning av saken om den hviterussiske hackerens løsepengekartell, viser at påtaler faktisk skjer, men de kommer typisk år etter at ofrene og kundene deres allerede har absorbert skaden.

Hva dette betyr for deg

Hvis du driver en virksomhet, er hovedpoenget ikke at løsepengebetalinger er trygge bare fordi ingen straffelov forbyr dem direkte. Sanksjonseksponering er reell, og den gjelder selv når du ikke visste hvem du betalte. Før noen betaling foretas, trenger organisasjoner sanksjonsscreening, juridisk gjennomgang og en tydelig forståelse av at OFAC-bøter kan ilegges uavhengig av god tro.

Hvis du er forbruker hvis data kan bli berørt i en av disse hendelsene, er lærdommen en annen men beslektet: at et selskap betaler løsepenger er ikke det samme som at dataene dine er beskyttet. Betalingsbeslutninger formes av juridiske og økonomiske risikoberegninger, ikke nødvendigvis av hva som best beskytter personvernet ditt.

Hovedpunkter

  • Ingen føderal lov forbyr kategorisk løsepengebetalinger, men OFAC-sanksjoner kan fortsatt medføre sivilt rettslig ansvar.
  • Ansvar etter sanksjonslovgivningen kan inntre selv uten kjennskap til at en betaling gikk til en blokkert person eller jurisdiksjon.
  • Å betale løsepenger garanterer ikke at stjålne data slettes eller holdes utenfor kriminelle markedsplasser.
  • Organisasjoner bør involvere juridisk rådgiver og sanksjonsscreening før de foretar noen løsepengebetaling.
  • Forbrukere som er berørt av et datainnbrudd bør overvåke for eksponering uavhengig, i stedet for å anta at en betaling eliminerte risikoen.