Ingen federal lag förbjuder ransomwarebetalningar, men det är inte hela sanningen

En nyligen publicerad juridisk förklaring från Spodek Law Group lyfter en punkt som överraskar många ransomware-drabbade organisationer: det finns ingen federal lag som kategoriskt förbjuder betalning av lösen. Det gäller även när angriparens identitet är okänd vid betalningstillfället. För företag som står inför krypterade system, stulen kunddata och växande driftstopp kan detta låta som en grön gata att bara betala och gå vidare.

Det är det inte. Frånvaron av ett generellt straffrättsligt förbud innebär inte att ransomwarebetalningar är riskfria. Den verkliga exponeringen kommer från ett helt annat håll: sanktionslagstiftning som upprätthålls av finansdepartementets Office of Foreign Assets Control, OFAC.

Där OFAC-sanktioner kommer in i bilden

OFAC för register över blockerade individer, enheter och jurisdiktioner kopplade till cyberbrottslighet, statsunderstödd hackning och annan olaglig verksamhet. Om en ransomwarebetalning hamnar i händerna på en sanktionerad person eller ett omfattande sanktionerat land, kan den drabbade organisationen – och ibland även de mellanhänder som underlättat betalningen – drabbas av civilrättsliga påföljder oavsett uppsåt. Med andra ord behöver ett företag inte medvetet skicka pengar till en sanktionerad aktör för att bryta mot reglerna; det räcker att betalningen görs.

Detta är ett strikt ansvarssystem, och det är just därför incidenthantering har blivit lika mycket en juridisk som en teknisk process. Vår tidigare genomgång av hur ransomwarebetalningar riskerar OFAC-sanktioner beskriver denna dynamik mer ingående: incidenthanteringsteam kopplar numera rutinmässigt in externa jurister och sanktionsgranskare innan någon betalning godkänns, just för att en felaktig överföring kan förvandla ett dataintrång till en regulatorisk tillsynsåtgärd.

Regeringen har också visat sig villig att sanktionera infrastruktur som möjliggör ransomware, inte bara angriparna själva. Finansdepartementets beslut att sanktionera en VPN-tjänst kopplad till ransomware-operationer, som vi rapporterade i Treassurens första VPN-sanktionsåtgärd, signalerar att tillsynsnätet sträcker sig långt bortom de individer som skriver lösennotorna. Vem som helst i betalnings- eller penningtvättskedjan, inklusive tjänster som anonymiserar pengaspåret, kan bli en måltavla.

Integritetsaspekten som offer ofta förbiser

Medan den mesta rapporteringen om ransomware-sanktioner fokuserar på de finansiella och juridiska riskerna för det betalande företaget, finns en integritetsdimension som förtjänar större uppmärksamhet. När en organisation betalar lösen gör den det ofta för att förhindra att stulen persondata (kundregister, hälsoinformation, personalakter) publiceras eller säljs. Men betalning garanterar inte att data raderas eller att den inte dyker upp igen senare. Angripare som redan har exfiltrerat känslig information behåller förhandlingsmakt även efter att en betalning gått igenom, och det finns ingen verkställbar mekanism som tvingar dem att hålla ett löfte om radering.

Den verkligheten har spelats upp offentligt. Vår senaste artikel om hur ransomwarebetalningar minskar när 23andMe förlikar för 18 miljoner dollar visar hur efterdyningarna av ett intrång kan fortsätta långt efter alla beslut om lösen, där drabbade individer får bära konsekvenserna av exponerad genetisk och personlig information oavsett vad företaget valde att betala. För konsumenter är sanktionsdebatten som förs i styrelserum och på advokatbyråer i praktiken en proxykamp om huruvida deras data förblir privat.

Utfall i brottsbekämpning bidrar med ytterligare ett lager sammanhang. Den 16-åriga fängelsedom som utdömdes mot en hackare bakom Ransom Cartel-operationen, detaljerad i vår rapportering om den belarusiska hackarens ransom cartel-fall, visar att åtal faktiskt förekommer, men de kommer vanligtvis år efter att offer och deras kunder redan har absorberat skadan.

Vad detta innebär för dig

Om du driver ett företag är slutsatsen inte att ransomwarebetalningar är riskfria bara för att ingen brottslag förbjuder dem rakt av. Sanktionsexponering är verklig och gäller även när du inte visste vem du betalade. Innan någon betalning görs behöver organisationer sanktionskontroll, juridisk granskning och en klarsynt förståelse för att OFAC-påföljder kan tillämpas oavsett god tro.

Om du är konsument vars data kan ha hamnat i en av dessa incidenter är lärdommen en annan men relaterad: att ett företag betalar lösen är inte detsamma som att dina data är skyddade. Beslut om betalning styrs av juridiska och finansiella riskkalkyler, inte nödvändigtvis av vad som bäst skyddar din integritet.

Viktigaste punkterna

  • Ingen federal lag förbjuder kategoriskt ransomwarebetalningar, men OFAC-sanktioner kan ändå skapa civilrättsligt ansvar.
  • Ansvar enligt sanktionslagstiftning kan inträda även utan vetskap om att en betalning gick till en sanktionerad person eller jurisdiktion.
  • Att betala lösen garanterar inte att stulen data raderas eller hålls borta från kriminella marknadsplatser.
  • Organisationer bör involvera juridisk rådgivare och sanktionsgranskning innan någon ransomwarebetalning görs.
  • Konsumenter som drabbas av ett intrång bör själva bevaka exponering snarare än att anta att en betalning har undanröjt risken.