Când o plată ransomware devine o problemă federală de conformitate

Ransomware-ul a depășit cu mult sfera problemelor IT obișnuite. Pentru multe organizații, un atac ransomware declanșează acum o criză totală care implică avocați, forțele de ordine, asigurători și, uneori, autorități federale de reglementare, toate înainte ca sistemele afectate să fie măcar restaurate. O analiză juridică recentă privind aspectele legale ale ransomware-ului și extorcării prezintă o realitate pe care mulți directori încă o subestimează: decizia de a plăti o răscumpărare nu este doar o decizie de afaceri. Este o decizie cu o expunere legală reală, în special atunci când intră în scenă Office of Foreign Assets Control (OFAC) al Departamentului Trezoreriei SUA.

OFAC menține liste de sancțiuni care includ grupuri infracționale cibernetice, persoane și jurisdicțiile care le oferă adăpost. Dacă o plată ransomware ajunge în mâinile unei entități sancționate, chiar și fără știință, organizația care a plătit se poate confrunta cu sancțiuni civile, indiferent de intenție. Este o complicație descurajantă pentru companiile al căror instinct într-o criză este pur și simplu să facă problema să dispară cât mai repede posibil.

De ce plata nu garantează că problema dispare

Dincolo de riscul sancțiunilor, există un motiv practic pentru a reflecta de două ori înainte de a transfera fonduri unui extorcherist: plata adesea nu rezolvă amenințarea de fond la adresa datelor și confidențialității unei organizații. Cercetări prezentate anterior aici au constatat că 1 din 3 plătitori de ransomware sunt loviți din nou, ceea ce înseamnă că o plată poate marca începutul unei a doua runde de extorcare, mai degrabă decât sfârșitul primeia. Date separate confirmă acest lucru: un studiu a constatat că 37% dintre victimele ransomware se confruntă cu o a doua cerere după ce au plătit deja o dată, iar raportări suplimentare arată că bandele de ransomware re-extorchează 22% dintre victime care au crezut că au încheiat capitolul.

Acest tipar contează enorm pentru confidențialitate. Multe incidente ransomware implică astăzi exfiltrarea datelor împreună cu criptarea, ceea ce înseamnă că înregistrări sensibile ale clienților, date ale angajaților sau informații medicale ar putea fi deja pe un server infracțional, indiferent dacă răscumpărarea este plătită sau nu. A plăti pentru o promisiune de ștergere nu oferă nicio garanție executorie, iar tentativele repetate de extorcare sugerează că această promisiune este frecvent încălcată.

Economia schimbătoare a plăților răscumpărării

Există semne că socoteala se schimbă. După cum s-a relatat într-o sinteză recentă, plățile ransomware au scăzut la nivelul întregii industrii, pe măsură ce mai multe organizații aleg să restaureze din copii de rezervă, să coopereze cu forțele de ordine și să absoarbă lovitura reputațională, mai degrabă decât să finanțeze organizații criminale care ar putea fi sub sancțiuni. În același timp, cererile în sine continuă să crească. Breșa de date de la Stadler Rail, care implică o cerere de 12,3 milioane de dolari din partea bandei Everest, ilustrează modul în care sumele extorcării au ajuns mult peste ceea ce multe organizații de talie medie pot absorbi în liniște sau justifica să plătească, riscul sancțiunilor lăsându-se deoparte.

Această combinație — mai puține organizații care plătesc, dar cereri din ce în ce mai mari — sugerează că actorii amenințării țintesc din ce în ce mai mult entități despre care cred că au atât mijloacele, cât și motivația de a plăti rapid, cum ar fi cele care gestionează date reglementate sau operează infrastructură critică.

Ce înseamnă acest lucru pentru dumneavoastră

Dacă organizația dumneavoastră gestionează date sensibile, fie că este vorba de înregistrări ale clienților, informații medicale sau detalii financiare, expunerea legală legată de ransomware se extinde dincolo de daunele operaționale imediate. Înainte ca un incident să aibă loc vreodată, merită să înțelegeți că:

  • Plata unei răscumpărări fără diligența necesară v-ar putea expune organizația la acțiuni de executare din partea OFAC, separat de obligațiile de notificare a breșelor.
  • O plată nu garantează ștergerea datelor sau protecția împotriva viitoarelor tentative de extorcare, având în vedere cât de frecvent victimele sunt vizate din nou.
  • Polițele de asigurare cibernetică cer din ce în ce mai mult planuri documentate de răspuns la incident și consultanță juridică înainte ca o plată de răscumpărare să fie autorizată.
  • Autoritățile de reglementare și instanțele acordă o atenție mai mare modului în care organizațiile gestionează atât decizia de plată, cât și consecințele asupra confidențialității pentru persoanele afectate.

Pentru consumatorii obișnuiți, aceasta subliniază de ce contează minimizarea datelor, autentificarea puternică pe conturi și monitorizarea notificărilor de breșă. Chiar și atunci când o companie plătește, nu există nicio asigurare că datele dumneavoastră nu au fost deja exfiltrate și copiate în altă parte.

Concluzii aplicabile

Organizațiile care se confruntă cu acest peisaj ar trebui să elaboreze un plan de răspuns la incident cu mult înainte de a avea loc un atac, unul care să includă avocați familiarizați cu cadrul de sancțiuni OFAC, proceduri clare de escaladare și o politică privind posibilitatea de a lua în considerare plățile de răscumpărare. Consultarea forțelor de ordine și a îndrumărilor proprii ale OFAC la începutul unui incident poate ajuta la clarificarea expunerii la sancțiuni înainte de a fi mutate fonduri. Persoanele fizice, între timp, ar trebui să ia în serios notificările de breșă, să schimbe parolele refolosite și să activeze autentificarea multi-factor oriunde sunt implicate conturi sensibile. Ransomware-ul nu dispare, dar înțelegerea terenului juridic din jurul plăților de răscumpărare și al sancțiunilor OFAC este acum o parte esențială a gestionării atât a riscului corporativ, cât și a confidențialității personale în urma unui atac.