ไม่มีกฎหมายของรัฐบาลกลางห้ามการจ่ายค่าเรียกค่าไถ่จากแรนซัมแวร์ แต่นั่นไม่ใช่เรื่องราวทั้งหมด

บทอธิบายกฎหมายล่าสุดจาก Spodek Law Group ชี้ให้เห็นประเด็นที่สร้างความประหลาดใจให้กับหลายองค์กรที่ถูกโจมตีด้วยแรนซัมแวร์: ไม่มีกฎหมายของรัฐบาลกลางฉบับใดที่ห้ามการจ่ายค่าไถ่อย่างเด็ดขาด ข้อเท็จจริงนี้ยังคงเป็นจริงแม้ในขณะที่ยังไม่ทราบตัวตนของผู้โจมตีในขณะที่ชำระเงิน สำหรับบริษัทที่กำลังเผชิญกับระบบที่ถูกเข้ารหัส ข้อมูลลูกค้าที่ถูกขโมย และระยะเวลาหยุดทำงานที่เพิ่มขึ้นเรื่อย ๆ เรื่องนี้อาจฟังดูเหมือนเป็นสัญญาณไฟเขียวให้จ่ายเงินแล้วเดินหน้าต่อไป

แต่มันไม่ใช่ การไม่มีข้อห้ามทางอาญาแบบครอบคลุมไม่ได้หมายความว่าการจ่ายค่าเรียกค่าไถ่จะปราศจากความเสี่ยง ความเสี่ยงที่แท้จริงมาจากทิศทางที่แตกต่างออกไปโดยสิ้นเชิง: กฎหมายคว่ำบาตรที่บังคับใช้โดยสำนักงานควบคุมทรัพย์สินต่างประเทศ (OFAC) ภายใต้กระทรวงการคลัง

จุดที่การคว่ำบาตรของ OFAC เข้ามาเกี่ยวข้อง

OFAC จัดทำรายชื่อบุคคล นิติบุคคล และเขตอำนาจศาลที่ถูกระงับ ซึ่งเชื่อมโยงกับอาชญากรรมไซเบอร์ การแฮ็กที่รัฐสนับสนุน และกิจกรรมผิดกฎหมายอื่น ๆ หากการจ่ายค่าเรียกค่าไถ่ตกไปอยู่ในมือของบุคคลที่ถูกคว่ำบาตรหรือประเทศที่ถูกคว่ำบาตรอย่างครอบคลุม องค์กรที่ตกเป็นเหยื่อ และบางครั้งตัวกลางที่อำนวยความสะดวกในการชำระเงิน อาจต้องเผชิญกับโทษทางแพ่งโดยไม่คำนึงถึงเจตนา กล่าวอีกนัยหนึ่ง บริษัทไม่จำเป็นต้องรู้ว่ากำลังส่งเงินให้กับผู้กระทำการที่ถูกคว่ำบาตรเพื่อเข้าข่ายละเมิดกฎ เพียงแค่ส่งเงินไปก็พอ

นี่คือกรอบความรับผิดโดยเด็ดขาด และเป็นเหตุผลว่าทำไมการตอบสนองต่อการรั่วไหลของข้อมูลจึงกลายเป็นการดำเนินการทางกฎหมายพอ ๆ กับที่เป็นการดำเนินการทางเทคนิค การรายงานก่อนหน้านี้ของเราเกี่ยวกับวิธีที่ การจ่ายค่าเรียกค่าไถ่เสี่ยงต่อการถูกคว่ำบาตรจาก OFAC ได้อธิบายพลวัตนี้อย่างละเอียดมากขึ้น: ทีมรับมือเหตุการณ์ปัจจุบันมักจะประสานงานกับที่ปรึกษากฎหมายภายนอกและผู้เชี่ยวชาญด้านการคัดกรองการคว่ำบาตรก่อนอนุมัติการชำระเงินใด ๆ ก็เพราะการโอนเงินที่ผิดพลาดเพียงครั้งเดียวสามารถเปลี่ยนเหตุการณ์ข้อมูลรั่วไหลให้กลายเป็นการบังคับใช้กฎหมายตามข้อบังคับได้

รัฐบาลยังแสดงให้เห็นแล้วว่าพร้อมที่จะคว่ำบาตรโครงสร้างพื้นฐานที่เอื้อให้เกิดแรนซัมแวร์ ไม่ใช่แค่ตัวผู้โจมตีเท่านั้น การตัดสินใจของกระทรวงการคลังในการคว่ำบาตรบริการ VPN ที่เชื่อมโยงกับการดำเนินการแรนซัมแวร์ ซึ่งนำเสนอในรายงานของเราเกี่ยวกับ การดำเนินการคว่ำบาตรบริการ VPN ครั้งแรกของกระทรวงการคลัง ส่งสัญญาณว่าข่ายการบังคับใช้กฎหมายขยายไปไกลเกินกว่าตัวบุคคลที่เขียนข้อความเรียกค่าไถ่ ใครก็ตามที่อยู่ในห่วงโซ่การชำระเงินหรือการฟอกเงิน รวมถึงบริการที่ทำให้เส้นทางการเงินไม่สามารถระบุตัวตนได้ อาจกลายเป็นเป้าหมายได้

มุมด้านความเป็นส่วนตัวที่เหยื่อมักมองข้าม

ในขณะที่การรายงานข่าวส่วนใหญ่เกี่ยวกับการคว่ำบาตรแรนซัมแวร์มุ่งเน้นไปที่ความเสี่ยงทางการเงินและกฎหมายสำหรับบริษัทที่จ่ายเงิน ยังมีมิติด้านความเป็นส่วนตัวที่สมควรได้รับความสนใจมากกว่านี้ เมื่อองค์กรจ่ายค่าเรียกค่าไถ่ มักทำเพื่อป้องกันไม่ให้ข้อมูลส่วนบุคคลที่ถูกขโมย (บันทึกลูกค้า ข้อมูลสุขภาพ ไฟล์พนักงาน) ถูกเผยแพร่หรือขาย แต่การจ่ายเงินไม่ได้รับประกันว่าข้อมูลนั้นจะถูกลบหรือจะไม่ปรากฏขึ้นอีกในภายหลัง ผู้โจมตีที่ดึงข้อมูลสำคัญออกไปแล้วยังคงมีอำนาจต่อรองแม้หลังจากการชำระเงินเสร็จสิ้น และไม่มีกลไกใดที่สามารถบังคับให้พวกเขาทำตามสัญญาที่จะลบข้อมูลได้

ความเป็นจริงนี้กำลังปรากฏให้เห็นต่อสาธารณะ บทความล่าสุดของเราเกี่ยวกับวิธีที่ การจ่ายค่าเรียกค่าไถ่ลดลงในขณะที่ 23andMe ยอมความด้วยเงิน 18 ล้านดอลลาร์ แสดงให้เห็นว่าผลกระทบจากการรั่วไหลของข้อมูลสามารถดำเนินต่อไปอีกนานหลังจากการตัดสินใจเรียกค่าไถ่ใด ๆ โดยผู้ที่ได้รับผลกระทบต้องแบกรับผลลัพธ์จากการเปิดเผยข้อมูลทางพันธุกรรมและข้อมูลส่วนบุคคล ไม่ว่าบริษัทจะตัดสินใจจ่ายเงินหรือไม่ก็ตาม สำหรับผู้บริโภค การถกเถียงเรื่องการคว่ำบาตรที่เกิดขึ้นในห้องประชุมคณะกรรมการและสำนักงานกฎหมาย แท้จริงแล้วคือการต่อสู้แทนว่าข้อมูลของพวกเขาจะยังคงเป็นส่วนตัวหรือไม่

ผลลัพธ์จากการบังคับใช้กฎหมายเพิ่มเติมให้บริบทอีกชั้นหนึ่ง โทษจำคุก 16 ปีที่ตัดสินลงโทษแฮ็กเกอร์เบื้องหลังปฏิบัติการ Ransom Cartel ซึ่งมีรายละเอียดในการรายงานของเราเกี่ยวกับ คดีของแฮ็กเกอร์ชาวเบลารุสกับแก๊งเรียกค่าไถ่ แสดงให้เห็นว่าการดำเนินคดีเกิดขึ้นจริง แต่โดยทั่วไปแล้วจะมาถึงหลายปีหลังจากที่เหยื่อและลูกค้าของพวกเขาดูดซับความเสียหายไปแล้ว

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณบริหารธุรกิจ สิ่งที่ต้องนำกลับไปคิดไม่ใช่ว่าการจ่ายค่าเรียกค่าไถ่จะปลอดภัยเพราะไม่มีกฎหมายอาญาใดห้ามไว้โดยชัดแจ้ง ความเสี่ยงจากการถูกคว่ำบาตรนั้นมีจริง และมีผลบังคับใช้แม้คุณจะไม่รู้ว่ากำลังจ่ายเงินให้ใคร ก่อนที่จะมีการชำระเงินใด ๆ องค์กรจำเป็นต้องมีการคัดกรองการคว่ำบาตร การพิจารณาทางกฎหมาย และความเข้าใจอย่างถ่องแท้ว่าบทลงโทษของ OFAC สามารถนำมาใช้ได้โดยไม่คำนึงถึงเจตนาสุจริต

หากคุณเป็นผู้บริโภคที่ข้อมูลอาจเข้าไปพัวพันกับเหตุการณ์ใดเหตุการณ์หนึ่งเหล่านี้ บทเรียนนั้นแตกต่างแต่ก็เชื่อมโยงกัน: การที่บริษัทจ่ายค่าเรียกค่าไถ่ไม่ได้หมายความว่าข้อมูลของคุณจะได้รับการคุ้มครอง การตัดสินใจจ่ายเงินถูกกำหนดโดยการคำนวณความเสี่ยงทางกฎหมายและทางการเงิน ไม่จำเป็นต้องเป็นสิ่งที่ปกป้องความเป็นส่วนตัวของคุณได้ดีที่สุด

ประเด็นสำคัญที่ต้องจดจำ

  • ไม่มีกฎหมายของรัฐบาลกลางฉบับใดที่ห้ามการจ่ายค่าเรียกค่าไถ่อย่างเด็ดขาด แต่การคว่ำบาตรของ OFAC ยังสามารถสร้างความรับผิดทางแพ่งได้
  • ความรับผิดภายใต้กฎหมายคว่ำบาตรสามารถเกิดขึ้นได้แม้โดยปราศจากความรู้ว่าการชำระเงินนั้นไปถึงบุคคลหรือเขตอำนาจศาลที่ถูกระงับ
  • การจ่ายค่าเรียกค่าไถ่ไม่ได้รับประกันว่าข้อมูลที่ถูกขโมยจะถูกลบหรือถูกกันออกจากตลาดมืดทางอาชญากรรม
  • องค์กรควรให้ที่ปรึกษากฎหมายและการคัดกรองการคว่ำบาตรเข้ามามีส่วนร่วมก่อนทำการชำระเงินค่าเรียกค่าไถ่ใด ๆ
  • ผู้บริโภคที่ได้รับผลกระทบจากการรั่วไหลของข้อมูลควรเฝ้าติดตามความเสี่ยงด้วยตนเองอย่างอิสระ แทนที่จะสันนิษฐานว่าการจ่ายเงินช่วยแก้ไขความเสี่ยงแล้ว