Никакой федеральный закон не запрещает выплату выкупа, но это еще не вся история

Недавнее юридическое разъяснение от Spodek Law Group содержит положение, которое удивляет многие организации, пострадавшие от программ-вымогателей: не существует федерального закона, который категорически запрещал бы выплату выкупа. Это верно, даже если личность злоумышленника на момент платежа неизвестна. Для компаний, столкнувшихся с зашифрованными системами, украденными данными клиентов и растущим временем простоя, это может прозвучать как зелёный свет — просто заплатить и двигаться дальше.

Но это не так. Отсутствие общего уголовного запрета не означает, что выплаты выкупа не связаны с риском. Реальная угроза исходит из совершенно другого направления: санкционного законодательства, которое применяет Управление по контролю за иностранными активами Министерства финансов (OFAC).

Где вступают в игру санкции OFAC

OFAC ведёт списки заблокированных лиц, организаций и юрисдикций, связанных с киберпреступностью, спонсируемым государством взломом и другой незаконной деятельностью. Если выкуп попадает в руки лица из санкционного списка или в страну, находящуюся под всеобъемлющими санкциями, пострадавшая организация, а иногда и посредники, способствовавшие платежу, могут быть подвергнуты гражданским штрафам, независимо от намерений. Иными словами, компании не нужно сознательно отправлять деньги подсанкционному субъекту, чтобы нарушить правила; достаточно просто отправить их, и всё.

Это режим строгой ответственности, и именно поэтому реагирование на утечку данных стало настолько же юридической задачей, насколько и технической. Наша предыдущая статья о том, как выплаты выкупа создают риск санкций OFAC, подробно рассматривает эту динамику: группы реагирования теперь регулярно привлекают внешних юристов и специалистов по проверке санкционных списков до того, как разрешить любой платёж, именно потому, что неверный банковский перевод может превратить утечку данных в регуляторное преследование.

Правительство также показало, что готово вводить санкции против инфраструктуры, которая обеспечивает работу программ-вымогателей, а не только против самих злоумышленников. Решение Минфина ввести санкции против VPN-сервиса, связанного с операциями вымогателей, описанное в нашем репортаже о первом случае санкций в отношении VPN-сервиса со стороны Минфина, сигнализирует, что сеть правоприменения extends далеко за пределы тех, кто печатает требования о выкупе. Любой участник цепочки платежа или отмывания, включая сервисы, анонимизирующие денежный след, может стать целью.

Аспект приватности, который жертвы часто упускают

Хотя большинство материалов о санкциях в сфере программ-вымогателей сосредоточено на финансовых и юридических рисках для платящей компании, существует аспект приватности, заслуживающий большего внимания. Когда организация платит выкуп, она часто делает это, чтобы предотвратить публикацию или продажу украденных персональных данных (записей клиентов, медицинской информации, файлов сотрудников). Но платёж не гарантирует, что данные будут удалены или что они не всплывут позже. Злоумышленники, уже эксфильтрировавшие конфиденциальные записи, сохраняют рычаги влияния даже после прохождения платежа, и нет никакого принудительного механизма, заставляющего их сдержать обещание удаления.

Эта реальность разворачивается публично. Наша недавняя статья о том, как объём выплат выкупов снижается, а 23andMe выплачивает $18 млн по мировому соглашению, показывает, как последствия утечки могут продолжаться ещё долго после любого решения о выкупе, а пострадавшие люди несут последствия раскрытия генетических и персональных данных, независимо от того, что решила заплатить компания. Для потребителей дебаты о санкциях, происходящие в залах заседаний и юридических офисах, на самом деле являются опосредованной борьбой за то, останутся ли их данные в тайне.

Результаты работы правоохранительных органов добавляют ещё один уровень контекста. 16-летний срок, назначенный хакеру, стоявшему за операцией Ransom Cartel, подробно описанный в нашем материале о деле белорусского хакера и картеле вымогателей, показывает, что преследования случаются, но обычно через годы после того, как жертвы и их клиенты уже поглотили ущерб.

Что это значит для вас

Если вы управляете бизнесом, вывод не в том, что выплаты выкупа безопасны лишь потому, что уголовный закон прямо их не запрещает. Риск санкций реален, и он применяется, даже если вы не знали, кому платите. Прежде чем производить какой-либо платёж, организациям необходима проверка по санкционным спискам, юридическая экспертиза и чёткое понимание того, что штрафы OFAC могут применяться независимо от добросовестных намерений.

Если вы потребитель, чьи данные могли быть вовлечены в один из таких инцидентов, урок иной, но связанный с этим: то, что компания платит выкуп, не означает, что ваши данные защищены. Решения о выплатах формируются под влиянием расчётов юридических и финансовых рисков, а не обязательно того, что лучше всего защищает вашу приватность.

Ключевые выводы

  • Ни один федеральный закон не запрещает категорически выплату выкупа, однако санкции OFAC всё равно могут повлечь гражданскую ответственность.
  • Ответственность по санкционному законодательству может наступить, даже если компания не знала, что платёж ушёл заблокированному лицу или в заблокированную юрисдикцию.
  • Выплата выкупа не гарантирует, что украденные данные будут удалены или не попадут на криминальные торговые площадки.
  • Организациям следует привлекать юридического консультанта и проводить проверку по санкционным спискам, прежде чем осуществлять любую выплату выкупа.
  • Потребителям, пострадавшим от утечки, следует самостоятельно отслеживать угрозы раскрытия, а не предполагать, что платёж устранил риск.