Brak federalnego zakazu płacenia okupu, lecz groźba OFAC wisi w powietrzu

Żadne prawo federalne nie zakazuje płatności okupu za ransomware, ale to nie koniec historii

Niedawne wyjaśnienie prawne przygotowane przez Spodek Law Group podkreśla fakt, który zaskakuje wiele organizacji dotkniętych ransomware: nie istnieje żaden federalny przepis kategorycznie zakazujący płacenia okupu. Dotyczy to również sytuacji, gdy tożsamość atakującego pozostaje nieznana w momencie dokonywania płatności. Dla firm zmagających się z zaszyfrowanymi systemami, skradzionymi danymi klientów i rosnącymi przestojami może to brzmieć jak zielone światło, by po prostu zapłacić i iść dalej.

Nie jest. Brak ogólnego zakazu karnego nie oznacza, że płatności okupu są wolne od ryzyka. Prawdziwe zagrożenie pochodzi z zupełnie innego kierunku: z przepisów sankcyjnych egzekwowanych przez Biuro Kontroli Aktywów Zagranicznych Departamentu Skarbu, czyli OFAC.

Gdzie na scenę wkraczają sankcje OFAC

OFAC prowadzi listy zablokowanych osób, podmiotów i jurysdykcji powiązanych z cyberprzestępczością, sponsorowanym przez państwa hakerstwem i inną nielegalną działalnością. Jeżeli płatność okupu trafi w ręce osoby objętej sankcjami lub do kraju objętego kompleksowymi sankcjami, poszkodowana organizacja – a czasem także pośrednicy, którzy ułatwili płatność – może ponieść odpowiedzialność cywilną niezależnie od intencji. Innymi słowy, firma nie musi świadomie wysyłać pieniędzy podmiotowi sankcjonowanemu, by narazić się na konsekwencje; wystarczy, że je wyśle, kropka.

To system odpowiedzialności obiektywnej i właśnie dlatego reagowanie na naruszenia stało się w równym stopniu ćwiczeniem prawnym, co technicznym. Nasze wcześniejsze omówienie, jak płatności okupu za ransomware niosą ryzyko sankcji OFAC, dokładniej opisuje tę dynamikę: zespoły reagowania na incydenty obecnie rutynowo angażują zewnętrznych prawników i specjalistów od weryfikacji sankcji przed autoryzacją jakiejkolwiek płatności, właśnie dlatego, że błędny przelew może zamienić naruszenie danych w postępowanie egzekucyjne organów regulacyjnych.

Rząd pokazał również, że jest gotów nakładać sankcje na infrastrukturę umożliwiającą ransomware, a nie tylko na samych atakujących. Decyzja Departamentu Skarbu o objęciu sankcjami usługi VPN powiązanej z operacjami ransomware, opisana w naszym raporcie o pierwszej akcji sankcyjnej Skarbu wobec usługi VPN, sygnalizuje, że sieć egzekucyjna rozciąga się daleko poza osoby piszące żądania okupu. Każdy w łańcuchu płatności lub prania pieniędzy, w tym usługi anonimizujące ślad finansowy, może stać się celem.

Aspekt prywatności, który ofiary często przeoczają

Podczas gdy większość doniesień o sankcjach za ransomware koncentruje się na finansowej i prawnej ekspozycji płacącej firmy, istnieje wymiar prywatności, który zasługuje na więcej uwagi. Kiedy organizacja płaci okup, często robi to, by powstrzymać publikację lub sprzedaż skradzionych danych osobowych (dokumentacji klientów, informacji zdrowotnych, akt pracowniczych). Lecz płatność nie gwarantuje, że dane zostaną usunięte lub że nie wypłyną ponownie w przyszłości. Atakujący, którzy już wykradli wrażliwe rekordy, zachowują przewagę nawet po zrealizowaniu płatności, a nie istnieje żaden egzekwowalny mechanizm zmuszający ich do dotrzymania obietnicy usunięcia.

Ta rzeczywistość rozgrywa się publicznie. Nasz niedawny artykuł o tym, jak płatności okupu spadają, gdy 23andMe wypłaca 18 mln USD ugody, pokazuje, że skutki naruszenia mogą trwać długo po decyzji o okupie, a osoby poszkodowane ponoszą konsekwencje ujawnienia danych genetycznych i osobistych niezależnie od tego, co firma zdecydowała się zapłacić. Dla konsumentów debata o sankcjach tocząca się w salach konferencyjnych i kancelariach prawnych jest w rzeczywistości zastępczą walką o to, czy ich dane pozostaną prywatne.

Działania organów ścigania dodają kolejny kontekst. Wyrok 16 lat pozbawienia wolności dla hakera stojącego za operacją Ransom Cartel, szczegółowo opisany w naszej relacji o sprawie białoruskiego hakera i kartelu okupowego, dowodzi, że do ścigania dochodzi, ale zazwyczaj wiele lat po tym, jak ofiary i ich klienci już ponieśli szkodę.

Co to oznacza dla Ciebie

Jeśli prowadzisz firmę, wniosek nie jest taki, że płatności okupu są bezpieczne tylko dlatego, że żadne prawo karne ich wprost nie zakazuje. Narażenie na sankcje jest realne i obowiązuje, nawet gdy nie wiesz, komu płaciłeś. Przed dokonaniem jakiejkolwiek płatności organizacje potrzebują weryfikacji sankcyjnej, analizy prawnej i trzeźwego zrozumienia, że kary OFAC mogą mieć zastosowanie niezależnie od dobrej wiary.

Jeśli jesteś konsumentem, którego dane mogą być objęte takim incydentem, lekcja jest inna, ale powiązana: to, że firma płaci okup, nie oznacza, że Twoje dane są chronione. Decyzje o płatności kształtowane są przez kalkulacje ryzyka prawnego i finansowego, niekoniecznie przez to, co najlepiej chroni Twoją prywatność.

Kluczowe wnioski

• Żadne federalne prawo nie zakazuje kategorycznie płatności okupu, ale sankcje OFAC wciąż mogą rodzić odpowiedzialność cywilną.
• Odpowiedzialność na mocy przepisów sankcyjnych może zaistnieć nawet bez wiedzy, że płatność trafiła do osoby lub jurysdykcji objętej sankcjami.
• Zapłacenie okupu nie gwarantuje, że skradzione dane zostaną usunięte lub nie trafią na przestępcze rynki.
• Organizacje powinny angażować prawników i weryfikację sankcyjną przed podjęciem decyzji o zapłacie okupu za ransomware.
• Konsumenci dotknięci naruszeniem powinni niezależnie monitorować ekspozycję, zamiast zakładać, że płatność rozwiązała ryzyko.