Hiçbir Federal Yasa Fidye Ödemelerini Yasaklamaz, Ama Hikâye Bu Kadar Değil

Spodek Law Group'tan yakın tarihli bir hukuki açıklama, fidye yazılımı saldırısına uğrayan birçok kuruluşu şaşırtan bir noktaya değiniyor: fidye ödenmesini kategorik olarak yasaklayan federal bir yasa yok. Saldırganın kimliği ödeme sırasında bilinmiyor olsa bile bu geçerlidir. Şifrelenmiş sistemler, çalınan müşteri verileri ve artan kesinti süreleriyle karşı karşıya kalan şirketler için bu, sadece ödeyip yoluna devam etmek için yeşil ışık gibi gelebilir.

Öyle değil. Kapsamlı bir ceza yasağının olmaması, fidye ödemelerinin risksiz olduğu anlamına gelmez. Asıl risk tamamen farklı bir yönden gelir: Hazine Bakanlığı'nın Yabancı Varlıkların Kontrolü Ofisi (OFAC) tarafından uygulanan yaptırım yasaları.

OFAC Yaptırımları Devreye Nerede Giriyor

OFAC, siber suç, devlet destekli hackleme ve diğer yasa dışı faaliyetlerle bağlantılı bloke edilmiş kişilerin, kuruluşların ve ülkelerin listelerini tutar. Bir fidye ödemesi yaptırım uygulanan bir kişinin veya kapsamlı yaptırım altındaki bir ülkenin eline geçerse, mağdur kuruluş ve bazen ödemeyi kolaylaştıran aracılar, niyetten bağımsız olarak hukuki yaptırımlarla karşı karşıya kalabilir.

Bu bir kusursuz sorumluluk çerçevesidir ve ihlale müdahalenin, hukuki olduğu kadar teknik bir faaliyet haline gelmesinin sebebi tam da budur. Fidye ödemelerinin OFAC yaptırımlarını nasıl riske attığını daha ayrıntılı ele alan önceki yazımızda, olay müdahale ekiplerinin artık herhangi bir ödemeye onay vermeden önce düzenli olarak dışarıdan hukuk danışmanlarını ve yaptırım tarama uzmanlarını sürece dahil ettiğini, çünkü yanlış bir havale işleminin bir veri ihlalini düzenleyici yaptırıma dönüştürebileceğini anlatıyoruz.

Hükümet ayrıca, sadece saldırganların kendilerini değil, fidye yazılımı operasyonlarını mümkün kılan altyapıyı da yaptırıma tabi tutmaya istekli olduğunu gösterdi. Hazine Bakanlığı'nın fidye yazılımı faaliyetleriyle bağlantılı bir VPN hizmetine yaptırım uygulama kararı, Hazine'nin ilk VPN yaptırım eylemi hakkındaki raporumuzda ele alınmıştı; bu, yaptırım ağının fidye notları yazan kişilerin çok ötesine uzandığını gösteriyor. Ödeme veya aklama zincirindeki herkes, para izini anonimleştiren hizmetler de dahil olmak üzere, hedef haline gelebilir.

Mağdurların Sıklıkla Gözden Kaçırdığı Gizlilik Boyutu

Fidye yazılımı yaptırımlarıyla ilgili haberlerin çoğu, ödeme yapan şirketin mali ve hukuki risklerine odaklanırken, daha fazla dikkat çekmeyi hak eden bir gizlilik boyutu var. Bir kuruluş fidye ödediğinde, bunu genellikle çalınan kişisel verilerin (müşteri kayıtları, sağlık bilgileri, çalışan dosyaları) yayınlanmasını veya satılmasını önlemek için yapar. Ancak ödeme, verilerin silineceğini veya daha sonra tekrar ortaya çıkmayacağını garanti etmez. Hassas kayıtları zaten sızdırmış olan saldırganlar, ödeme yapıldıktan sonra dahi kozlarını ellerinde tutarlar ve onları silme taahhüdüne uymaya zorlayacak uygulanabilir bir mekanizma yoktur.

Bu gerçek, alenen yaşanıyor. Yakın tarihli bir yazımızda, 23andMe'nin 18 milyon dolara anlaşmasıyla fidye ödemelerinin nasıl düştüğünü gösterdik; bu yazı, bir ihlalin etkilerinin, şirketin ödeme kararından bağımsız olarak, genetik ve kişisel verilerinin ifşa edilmesinin sonuçlarına katlanan etkilenen bireylerle birlikte, fidye kararı alındıktan uzun süre sonra da devam edebileceğini ortaya koyuyor. Tüketiciler için, yönetim kurullarında ve hukuk bürolarında yaşanan yaptırım tartışması, aslında verilerinin gizli kalıp kalmayacağı üzerine bir vekalet savaşıdır.

Kolluk kuvvetlerinin sonuçları başka bir bağlam katmanı ekliyor. Ransom Cartel operasyonunun arkasındaki bilgisayar korsanına verilen 16 yıllık hapis cezası, Belaruslu hacker'ın fidye karteli davası hakkındaki haberimizde ayrıntılı olarak anlatıldığı gibi, kovuşturmaların gerçekleştiğini, ancak genellikle mağdurlar ve müşterileri hasarı zaten aldıktan yıllar sonra geldiğini gösteriyor.

Bu Sizin İçin Ne Anlama Geliyor

İşletme sahibiyseniz, buradan çıkarılacak ders, fidye ödemelerinin sadece ceza kanununda doğrudan yasaklanmamış olması nedeniyle güvenli olduğu değildir. Yaptırım riski gerçektir ve kime ödeme yaptığınızı bilmediğiniz durumlarda bile geçerlidir. Herhangi bir ödeme yapılmadan önce kuruluşların yaptırım taraması yapması, hukuki inceleme yapması ve iyi niyetli niyetten bağımsız olarak OFAC cezalarının uygulanabileceğini net bir şekilde anlaması gerekir.

Verileri bu tür olaylara karışan bir tüketici iseniz, ders farklı ama bağlantılıdır: bir şirketin fidye ödemesi, verilerinizin korunduğu anlamına gelmez. Ödeme kararları, gizliliğinizi en iyi neyin koruduğuyla değil, hukuki ve mali risk hesaplamalarıyla şekillenir.

Ana Çıkarımlar

  • Hiçbir federal yasa fidye ödemelerini kategorik olarak yasaklamaz, ancak OFAC yaptırımları yine de hukuki sorumluluk doğurabilir.
  • Yaptırım yasası kapsamındaki sorumluluk, ödemenin bloke edilmiş bir kişiye veya ülkeye gittiği bilinmese dahi geçerli olabilir.
  • Fidye ödemek, çalınan verilerin silineceğini veya suç pazarlarına düşmeyeceğini garanti etmez.
  • Kuruluşlar, herhangi bir fidye ödemesi yapmadan önce hukuk danışmanlarını ve yaptırım taramasını sürece dahil etmelidir.
  • Bir ihlalden etkilenen tüketiciler, ödemenin riski çözdüğünü varsaymak yerine, maruziyetlerini bağımsız olarak takip etmelidir.