การจ่ายค่าไถ่เสี่ยงต่อการถูกคว่ำบาตรจาก OFAC: สิ่งที่องค์กรต้องรู้

เมื่อการจ่ายค่าไถ่กลายเป็นปัญหาการปฏิบัติตามกฎหมายของรัฐบาลกลาง

แรนซัมแวร์ได้ก้าวพ้นขอบเขตของปัญหาด้านไอทีทั่วไปไปมากแล้ว สำหรับหลายองค์กร การโจมตีด้วยแรนซัมแวร์ในปัจจุบันได้ก่อให้เกิดวิกฤตเต็มรูปแบบที่เกี่ยวข้องกับที่ปรึกษากฎหมาย หน่วยงานบังคับใช้กฎหมาย บริษัทประกันภัย และบางครั้งรวมถึงหน่วยงานกำกับดูแลของรัฐบาลกลาง ทั้งหมดนี้เกิดขึ้นก่อนที่ระบบที่ได้รับผลกระทบจะได้รับการกู้คืนเสียอีก บทวิเคราะห์ทางกฎหมายล่าสุดเกี่ยวกับกฎหมายที่เกี่ยวข้องกับแรนซัมแวร์และการรีดไถ ได้ชี้ให้เห็นถึงความเป็นจริงที่ผู้บริหารจำนวนมากยังคงประเมินต่ำเกินไป: การตัดสินใจจ่ายค่าไถ่ไม่ใช่การตัดสินใจทางธุรกิจเพียงอย่างเดียว แต่เป็นการตัดสินใจที่มีความเสี่ยงทางกฎหมายอย่างแท้จริง โดยเฉพาะอย่างยิ่งเมื่อสำนักงานควบคุมทรัพย์สินต่างประเทศ (OFAC) ของกระทรวงการคลังสหรัฐฯ เข้ามามีส่วนเกี่ยวข้อง

OFAC มีรายชื่อการคว่ำบาตรที่รวมถึงกลุ่มอาชญากรไซเบอร์ บุคคล และเขตอำนาจศาลที่ให้ที่พักพิงแก่พวกเขา หากการจ่ายเงินค่าไถ่ตกไปอยู่ในมือของหน่วยงานที่ถูกคว่ำบาตร แม้จะโดยไม่รู้ตัวก็ตาม องค์กรที่จ่ายเงินอาจต้องเผชิญกับบทลงโทษทางแพ่งโดยไม่คำนึงถึงเจตนา นั่นเป็นประเด็นที่ทำให้ต้องคิดหนัก สำหรับบริษัทที่มีสัญชาตญาณในยามวิกฤตคือการทำให้ปัญหาหมดไปโดยเร็วที่สุด

ทำไมการจ่ายเงินไม่ได้การันตีว่าปัญหาจะหมดไป

นอกเหนือจากความเสี่ยงด้านการคว่ำบาตรแล้ว ยังมีเหตุผลในทางปฏิบัติอีกประการหนึ่งที่ควรคิดให้ดีก่อนโอนเงินให้กับผู้รีดไถ: การจ่ายเงินมักไม่ได้แก้ไขภัยคุกคามพื้นฐานต่อข้อมูลและความเป็นส่วนตัวขององค์กร งานวิจัยที่เราเคยรายงานไปก่อนหน้านี้พบว่า 1 ใน 3 องค์กรของผู้จ่ายค่าไถ่ถูกโจมตีซ้ำอีก ซึ่งหมายความว่าการจ่ายเงินอาจเป็นจุดเริ่มต้นของการรีดไถรอบที่สอง มากกว่าที่จะเป็นจุดสิ้นสุดของรอบแรก ข้อมูลอีกชุดก็สนับสนุนเรื่องนี้: การศึกษาพบว่า 37% ของเหยื่อแรนซัมแวร์ต้องเผชิญกับข้อเรียกร้องครั้งที่สอง หลังจากที่จ่ายเงินไปแล้วครั้งหนึ่ง และรายงานเพิ่มเติมยังแสดงให้เห็นว่า แก๊งแรนซัมแวร์รีดไถซ้ำอีก 22% ของเหยื่อ ที่เชื่อว่าตนเองได้ปิดฉากไปแล้ว

รูปแบบนี้มีความสำคัญอย่างยิ่งต่อความเป็นส่วนตัว เหตุการณ์แรนซัมแวร์จำนวนมากในปัจจุบันเกี่ยวข้องกับการขโมยข้อมูลออกไปพร้อมกับการเข้ารหัส หมายความว่าบันทึกลูกค้าที่ละเอียดอ่อน ข้อมูลพนักงาน หรือข้อมูลสุขภาพอาจอยู่ในเซิร์ฟเวอร์ของอาชญากรอยู่แล้ว ไม่ว่าจะมีการจ่ายค่าไถ่หรือไม่ก็ตาม การจ่ายเงินเพื่อแลกกับคำสัญญาว่าจะลบข้อมูลนั้นไม่มีการรับประกันที่สามารถบังคับใช้ได้ และความพยายามรีดไถซ้ำ ๆ ก็บ่งชี้ว่าคำสัญญานั้นถูกละเมิดอยู่บ่อยครั้ง

เศรษฐศาสตร์ที่เปลี่ยนไปของการจ่ายค่าไถ่

มีสัญญาณว่าการคำนวณผลได้ผลเสียกำลังเปลี่ยนไป ตามที่ได้รายงานในการสรุปข่าวล่าสุด การจ่ายเงินค่าไถ่ลดลงทั่วทั้งอุตสาหกรรม เนื่องจากองค์กรจำนวนมากขึ้นเลือกที่จะกู้คืนข้อมูลจากข้อมูลสำรอง ร่วมมือกับหน่วยงานบังคับใช้กฎหมาย และยอมรับผลกระทบด้านชื่อเสียง แทนที่จะให้เงินสนับสนุนองค์กรอาชญากรรมที่อาจอยู่ภายใต้การคว่ำบาตร ในขณะเดียวกัน จำนวนเงินที่เรียกร้องเองก็เพิ่มสูงขึ้นอย่างต่อเนื่อง เหตุการณ์ การละเมิดข้อมูลของ Stadler Rail ที่เกี่ยวข้องกับการเรียกร้องเงิน 12.3 ล้านดอลลาร์จากแก๊ง Everest แสดงให้เห็นว่าตัวเลขการรีดไถได้เพิ่มสูงขึ้นเกินกว่าที่องค์กรขนาดกลางหลายแห่งจะสามารถดูดซับไว้อย่างเงียบ ๆ หรือให้เหตุผลรองรับการจ่ายได้ โดยไม่ต้องพูดถึงความเสี่ยงด้านการคว่ำบาตร

การรวมกันนี้ คือจำนวนองค์กรที่จ่ายเงินน้อยลงแต่ข้อเรียกร้องมีมูลค่าสูงขึ้น บ่งชี้ว่าผู้ก่อภัยคุกคามกำลังมุ่งเป้าไปยังหน่วยงานที่พวกเขาเชื่อว่ามีทั้งวิธีการและแรงจูงใจในการจ่ายเงินอย่างรวดเร็วมากขึ้น เช่น หน่วยงานที่จัดการข้อมูลที่มีการควบคุมหรือดำเนินการโครงสร้างพื้นฐานที่สำคัญ

สิ่งนี้มีความหมายอย่างไรสำหรับคุณ

หากองค์กรของคุณจัดการข้อมูลที่ละเอียดอ่อน ไม่ว่าจะเป็นบันทึกลูกค้า ข้อมูลสุขภาพ หรือรายละเอียดทางการเงิน ความเสี่ยงทางกฎหมายที่เกี่ยวข้องกับแรนซัมแวร์นั้นขยายออกไปนอกเหนือจากความเสียหายด้านปฏิบัติการในทันที ก่อนที่เหตุการณ์ใด ๆ จะเกิดขึ้น คุณควรทำความเข้าใจว่า:

• การจ่ายค่าไถ่โดยปราศจากการตรวจสอบสถานะอย่างเหมาะสม อาจทำให้องค์กรของคุณถูกบังคับใช้กฎหมายโดย OFAC ซึ่งแยกต่างหากจากภาระหน้าที่ในการแจ้งเตือนการละเมิดข้อมูล
• การจ่ายเงินไม่ได้รับประกันการลบข้อมูลหรือการปกป้องจากความพยายามรีดไถในอนาคต เนื่องจากเหยื่อมักถูกพุ่งเป้าซ้ำอีกบ่อยครั้งเพียงใด
• กรมธรรม์ประกันภัยไซเบอร์กำหนดให้มีแผนตอบสนองต่อเหตุการณ์ที่เป็นเอกสารและการปรึกษากฎหมายมากขึ้นเรื่อย ๆ ก่อนที่จะอนุญาตให้มีการจ่ายเงินค่าไถ่ใด ๆ
• หน่วยงานกำกับดูแลและศาลต่างให้ความสนใจอย่างใกล้ชิดมากขึ้น ว่าองค์กรจัดการกับการตัดสินใจจ่ายเงินและผลกระทบด้านความเป็นส่วนตัวต่อบุคคลที่ได้รับผลกระทบอย่างไร

สำหรับผู้บริโภคทั่วไป นี่เป็นการตอกย้ำว่าเหตุใดการลดปริมาณข้อมูล การยืนยันตัวตนที่เข้มงวดในบัญชี และการเฝ้าระวังประกาศแจ้งเตือนการละเมิดข้อมูล จึงมีความสำคัญ แม้ว่าบริษัทจะจ่ายเงิน ก็ไม่มีการรับประกันว่าข้อมูลของคุณไม่ได้ถูกขโมยและคัดลอกไปที่อื่นแล้ว

ข้อเสนอแนะที่นำไปปฏิบัติได้

องค์กรที่เผชิญกับภูมิทัศน์นี้ควรสร้างแผนตอบสนองต่อเหตุการณ์ล่วงหน้าก่อนที่จะถูกโจมตี ซึ่งรวมถึงที่ปรึกษากฎหมายที่คุ้นเคยกับกรอบการคว่ำบาตรของ OFAC ขั้นตอนการยกระดับที่ชัดเจน และนโยบายว่าจะมีการพิจารณาจ่ายค่าไถ่หรือไม่ การปรึกษากับหน่วยงานบังคับใช้กฎหมายและแนวทางของ OFAC เองตั้งแต่เนิ่น ๆ ในระหว่างเกิดเหตุการณ์ สามารถช่วยชี้แจงความเสี่ยงด้านการคว่ำบาตรก่อนที่เงินใด ๆ จะถูกเคลื่อนย้าย ในขณะเดียวกัน บุคคลทั่วไปควรให้ความสำคัญกับการแจ้งเตือนการละเมิดข้อมูลอย่างจริงจัง เปลี่ยนรหัสผ่านที่ใช้ซ้ำ และเปิดใช้งานการยืนยันตัวตนแบบหลายปัจจัยในทุกที่ที่มีบัญชีที่ละเอียดอ่อนเกี่ยวข้อง แรนซัมแวร์จะไม่หายไปไหน แต่การทำความเข้าใจภูมิประเทศทางกฎหมายเกี่ยวกับการจ่ายค่าไถ่และการคว่ำบาตรของ OFAC ในปัจจุบัน ถือเป็นส่วนสำคัญในการจัดการทั้งความเสี่ยงขององค์กรและความเป็นส่วนตัวส่วนบุคคล ภายหลังจากเหตุการณ์การโจมตี