Nenhuma lei federal proíbe pagamentos de ransomware, mas essa não é a história completa

Uma análise jurídica recente do Spodek Law Group destaca um ponto que surpreende muitas organizações atingidas por ransomware: não há nenhum estatuto federal que proíba categoricamente o pagamento de resgates. Isso é válido mesmo quando a identidade do atacante é desconhecida no momento do pagamento. Para empresas que enfrentam sistemas encriptados, dados de clientes roubados e tempo de inatividade crescente, isso pode soar como um sinal verde para simplesmente pagar e seguir em frente.

Não é bem assim. A ausência de uma proibição criminal geral não significa que os pagamentos de ransomware estejam livres de risco. A verdadeira exposição vem de uma direção completamente diferente: a lei de sanções aplicada pelo Escritório de Controle de Ativos Estrangeiros (OFAC, na sigla em inglês) do Departamento do Tesouro.

Onde as sanções da OFAC entram em cena

A OFAC mantém listas de pessoas, entidades e jurisdições bloqueadas ligadas ao cibercrime, hacking patrocinado por Estados e outras atividades ilícitas. Se um pagamento de ransomware acabar nas mãos de uma pessoa sancionada ou de um país sujeito a sanções abrangentes, a organização vítima — e, por vezes, os intermediários que facilitaram o pagamento — pode enfrentar penalidades civis, independentemente da intenção. Em outras palavras, uma empresa não precisa enviar dinheiro conscientemente a um agente sancionado para infringir as regras; basta enviá-lo, ponto final.

Trata-se de um regime de responsabilidade objetiva, e é precisamente por isso que a resposta a incidentes se tornou tanto um exercício jurídico quanto técnico. Nossa cobertura anterior sobre como pagamentos de ransomware arriscam sanções da OFAC detalha essa dinâmica com mais profundidade: as equipes de resposta a incidentes agora rotineiramente envolvem consultores jurídicos externos e especialistas em triagem de sanções antes de autorizar qualquer pagamento, justamente porque a transferência errada pode transformar uma violação de dados em uma ação regulatória.

O governo também já mostrou estar disposto a sancionar a infraestrutura que viabiliza o ransomware, e não apenas os próprios atacantes. A decisão do Tesouro de sancionar um serviço de VPN ligado a operações de ransomware, coberta em nossa reportagem sobre a primeira ação de sanções contra VPN do Tesouro, sinaliza que a rede de fiscalização se estende muito além dos indivíduos que digitam as notas de resgate. Qualquer pessoa na cadeia de pagamento ou lavagem de dinheiro, incluindo serviços que anonimizam o rastro financeiro, pode se tornar um alvo.

O ângulo da privacidade que as vítimas frequentemente ignoram

Enquanto a maior parte da cobertura sobre sanções a ransomware foca na exposição financeira e jurídica da empresa pagadora, há uma dimensão de privacidade que merece mais atenção. Quando uma organização paga um resgate, muitas vezes o faz para impedir que dados pessoais roubados (registros de clientes, informações de saúde, arquivos de funcionários) sejam publicados ou vendidos. Mas o pagamento não garante que esses dados sejam excluídos ou que não reapareçam depois. Os atacantes que já exfiltraram registros sensíveis mantêm poder de barganha mesmo depois que o pagamento é compensado, e não há nenhum mecanismo executável que os force a honrar uma promessa de exclusão.

Essa realidade tem se desenrolado publicamente. Nosso artigo recente sobre como pagamentos de ransomware estão caindo enquanto a 23andMe faz um acordo de US$ 18 milhões mostra que as repercussões de uma violação podem continuar muito depois de qualquer decisão sobre resgate, com os indivíduos afetados arcando com as consequências da exposição de dados genéticos e pessoais, independentemente do que a empresa decidiu pagar. Para os consumidores, o debate sobre sanções que ocorre em salas de diretoria e escritórios de advocacia é, na verdade, uma disputa indireta sobre se seus dados permanecerão privados.

Os resultados das ações policiais acrescentam outra camada de contexto. A sentença de 16 anos imposta a um hacker por trás da operação Ransom Cartel, detalhada em nossa cobertura do caso do hacker bielorrusso e sua quadrilha de resgate, mostra que os processos de fato acontecem, mas geralmente chegam anos depois que as vítimas e seus clientes já absorveram o dano.

O que isso significa para você

Se você administra uma empresa, a lição não é que os pagamentos de ransomware são seguros simplesmente porque nenhum estatuto criminal os proíbe expressamente. A exposição a sanções é real e se aplica mesmo quando você não sabia a quem estava pagando. Antes de qualquer pagamento ser feito, as organizações precisam de triagem de sanções, revisão jurídica e uma compreensão clara de que as penalidades da OFAC podem ser aplicadas independentemente da intenção de boa-fé.

Se você é um consumidor cujos dados podem ter sido envolvidos em um desses incidentes, a lição é diferente, mas relacionada: uma empresa pagar um resgate não é o mesmo que seus dados estarem protegidos. As decisões de pagamento são moldadas por cálculos de risco jurídico e financeiro, e não necessariamente pelo que melhor protege sua privacidade.

Pontos principais

  • Nenhum estatuto federal proíbe categoricamente os pagamentos de ransomware, mas as sanções da OFAC ainda podem gerar responsabilidade civil.
  • A responsabilidade sob a lei de sanções pode ser atribuída mesmo sem o conhecimento de que o pagamento foi para uma pessoa ou jurisdição bloqueada.
  • Pagar um resgate não garante que os dados roubados sejam excluídos ou mantidos fora dos mercados criminosos.
  • As organizações devem envolver consultores jurídicos e triagem de sanções antes de efetuar qualquer pagamento de ransomware.
  • Os consumidores afetados por uma violação devem monitorar a exposição de forma independente, em vez de presumir que um pagamento resolveu o risco.