Nicio lege federală nu interzice plățile ransomware, dar asta nu e toată povestea

O analiză juridică recentă de la Spodek Law Group evidențiază un aspect care surprinde multe organizații afectate de ransomware: nu există nicio lege federală care să interzică în mod categoric plata unei răscumpărări. Acest lucru rămâne valabil chiar și atunci când identitatea atacatorului este necunoscută la momentul plății. Pentru companiile care se confruntă cu sisteme criptate, date ale clienților furate și perioade de nefuncționare în creștere, asta ar putea suna ca o undă verde să plătească și să treacă mai departe.

Nu este așa. Lipsa unei interdicții penale generale nu înseamnă că plățile ransomware sunt lipsite de riscuri. Adevăratul pericol vine dintr-o direcție complet diferită: legislația privind sancțiunile impusă de Office of Foreign Assets Control (OFAC) din cadrul Departamentului Trezoreriei.

Unde intervin sancțiunile OFAC

OFAC menține liste cu persoane fizice, entități și jurisdicții blocate, legate de criminalitatea cibernetică, hacking sponsorizat de stat și alte activități ilicite. Dacă o plată ransomware ajunge la o persoană sancționată sau într-o țară supusă unor sancțiuni comprehensive, organizația victimă – și uneori intermediarii care au facilitat plata – pot suporta sancțiuni civile, indiferent de intenție. Cu alte cuvinte, o companie nu trebuie să știe că trimite bani către un actor sancționat pentru a încălca regulile; este suficient să trimită banii, punct.

Este un regim de răspundere strictă și tocmai de aceea răspunsul la breșe a devenit pe cât un exercițiu juridic, pe atât unul tehnic. Articolul nostru anterior despre cum plățile ransomware riscă sancțiunile OFAC detaliază această dinamică: echipele de răspuns la incidente implică acum în mod obișnuit consilieri externi și specialiști în verificarea sancțiunilor înainte de a autoriza orice plată, tocmai pentru că un transfer bancar greșit poate transforma o breșă de date într-o acțiune de aplicare a reglementărilor.

De asemenea, guvernul a demonstrat că este dispus să sancționeze infrastructura care facilitează ransomware-ul, nu doar atacatorii înșiși. Decizia Trezoreriei de a sancționa un serviciu VPN legat de operațiuni ransomware, acoperită în raportul nostru despre prima acțiune de sancționare a unui VPN de către Trezorerie, semnalează că plasa de aplicare se extinde cu mult dincolo de persoanele care tastează notele de răscumpărare. Oricine se află în lanțul de plată sau spălare, inclusiv serviciile care anonimizează traseul banilor, poate deveni o țintă.

Perspectiva de confidențialitate pe care victimele o ignoră adesea

În timp ce majoritatea articolelor despre sancțiunile ransomware se concentrează pe expunerea financiară și juridică pentru compania care plătește, există o dimensiune a confidențialității care merită mai multă atenție. Când o organizație plătește o răscumpărare, o face adesea pentru a împiedica publicarea sau vânzarea datelor personale furate (înregistrări ale clienților, informații medicale, dosare ale angajaților). Dar plata nu garantează că acele date sunt șterse sau că nu vor reapărea mai târziu. Atacatorii care au exfiltrat deja înregistrări sensibile păstrează pârghii chiar și după ce plata a fost efectuată și nu există niciun mecanism aplicabil care să-i oblige să respecte o promisiune de ștergere.

Această realitate se desfășoară în mod public. Articolul nostru recent despre cum plățile ransomware sunt în scădere, în timp ce 23andMe plătește o înțelegere de 18 milioane de dolari arată cum consecințele unei breșe pot continua mult timp după orice decizie de răscumpărare, persoanele afectate suportând consecințele expunerii datelor genetice și personale, indiferent de ce a decis compania să plătească. Pentru consumatori, dezbaterea despre sancțiuni care are loc în sălile de consiliu și cabinetele de avocatură este, de fapt, o luptă prin procură pentru a ști dacă datele lor rămân private.

Rezultatele din aplicarea legii adaugă un alt strat de context. Condamnarea la 16 ani de închisoare dată unui hacker din spatele operațiunii Ransom Cartel, detaliată în articolul nostru despre cazul cartelului de răscumpărare al hackerului belarus, arată că urmăririle penale au loc, dar de obicei vin la ani după ce victimele și clienții lor au absorbit deja daunele.

Ce înseamnă asta pentru tine

Dacă conduci o afacere, concluzia nu este că plățile ransomware sunt sigure doar pentru că nicio lege penală nu le interzice în mod explicit. Expunerea la sancțiuni este reală și se aplică chiar și atunci când nu ai știut cui plăteai. Înainte de a face orice plată, organizațiile trebuie să aibă verificări de sancțiuni, revizuire juridică și o înțelegere clară că penalitățile OFAC se pot aplica indiferent de intenția de bună-credință.

Dacă ești un consumator ale cărui date ar putea fi implicate într-un astfel de incident, lecția este diferită, dar înrudită: faptul că o companie plătește o răscumpărare nu este același lucru cu protejarea datelor tale. Deciziile de plată sunt modelate de calcule ale riscului juridic și financiar, nu neapărat de ceea ce protejează cel mai bine confidențialitatea ta.

Idei principale

  • Nicio lege federală nu interzice în mod categoric plățile ransomware, dar sancțiunile OFAC pot crea totuși răspundere civilă.
  • Răspunderea conform legii sancțiunilor poate fi atrasă chiar și fără să se știe că plata a ajuns la o persoană sau jurisdicție blocată.
  • Plata unei răscumpărări nu garantează că datele furate sunt șterse sau ținute departe de piețele infracționale.
  • Organizațiile ar trebui să implice consilieri juridici și verificări de sancțiuni înainte de a face orice plată ransomware.
  • Consumatorii afectați de o breșă ar trebui să monitorizeze expunerea în mod independent, în loc să presupună că o plată a rezolvat riscul.