Федерального закону, який забороняє виплати викупу, немає, але це ще не вся історія

Нещодавнє юридичне роз'яснення від Spodek Law Group наголошує на моменті, який дивує багато організацій, що постраждали від програм-вимагачів: федерального статуту, який категорично забороняє виплату викупу, не існує. Це залишається правдою, навіть якщо особа зловмисника невідома на момент здійснення платежу. Для компаній, які зіштовхнулися із зашифрованими системами, викраденими даними клієнтів та зростаючим простоєм, це може звучати як зелене світло просто заплатити і рухатися далі.

Це не так. Відсутність повної кримінальної заборони не означає, що виплати викупу є безризиковими. Справжня небезпека надходить зовсім з іншого боку: санкційне законодавство, яке застосовує Управління контролю за іноземними активами Міністерства фінансів США, або OFAC.

Де вступають у гру санкції OFAC

OFAC веде списки заблокованих осіб, організацій та юрисдикцій, пов'язаних із кіберзлочинністю, спонсорованим державою хакерством та іншою незаконною діяльністю. Якщо платіж викупу потрапляє до рук особи, яка перебуває під санкціями, або в країну, яка перебуває під всеосяжними санкціями, організація-жертва, а іноді й посередники, які сприяли здійсненню платежу, можуть зіткнутися з цивільними штрафними санкціями незалежно від наміру. Іншими словами, компанії не потрібно свідомо надсилати гроші підсанкційному суб'єкту, щоб порушити правила; досить просто їх надіслати.

Це система суворої відповідальності, і саме тому реагування на порушення стало настільки ж юридичною вправою, як і технічною. Наш попередній матеріал про те, як виплати викупу ризикують потрапити під санкції OFAC, докладніше розглядає цю динаміку: команди з реагування на інциденти тепер регулярно залучають зовнішнього юрисконсульта та спеціалістів з перевірки санкцій перед тим, як дозволити будь-який платіж, саме тому, що неправильний банківський переказ може перетворити витік даних на дію регуляторного примусу.

Уряд також показав, що готовий запроваджувати санкції проти інфраструктури, яка сприяє програмам-вимагачам, а не лише проти самих зловмисників. Рішення Міністерства фінансів запровадити санкції проти VPN-сервісу, пов'язаного з операціями програм-вимагачів, про яке йдеться в нашому звіті про перші санкції Міністерства фінансів проти VPN-сервісу, свідчить про те, що мережа примусових заходів поширюється далеко за межі окремих осіб, які друкують записки про викуп. Будь-хто в ланцюжку оплати або відмивання грошей, включаючи сервіси, які анонімізують слід грошей, може стати мішенню.

Кут зору конфіденційності, який жертви часто випускають з уваги

Хоча більшість матеріалів про санкції за програми-вимагачі зосереджуються на фінансовому та юридичному ризику для компанії, яка платить, існує аспект конфіденційності, який заслуговує на більшу увагу. Коли організація виплачує викуп, вона часто робить це, щоб запобігти публікації або продажу викрадених персональних даних (записи клієнтів, медична інформація, файли співробітників). Але платіж не гарантує, що ці дані будуть видалені або що вони не з'являться знову пізніше. Зловмисники, які вже викрали конфіденційні записи, зберігають важелі впливу навіть після проходження платежу, і не існує жодного механізму примусу, який би змусив їх виконати обіцянку видалення.

Ця реальність розгортається публічно. Наш нещодавній матеріал про те, як виплати викупу зменшуються, поки 23andMe досягає мирової угоди за $18 мільйонів, показує, як наслідки порушення можуть тривати довго після будь-якого рішення про викуп, причому постраждалі особи несуть наслідки викриття генетичних та персональних даних, незалежно від того, що вирішила заплатити компанія. Для споживачів дебати щодо санкцій, які відбуваються в залах засідань та юридичних офісах, насправді є опосередкованою боротьбою за те, чи залишаться їхні дані конфіденційними.

Результати правоохоронної діяльності додають ще один шар контексту. 16-річний термін, призначений хакеру, який стояв за операцією Ransom Cartel, детально описаний у нашому матеріалі про справу білоруського хакера про картель викупу, показує, що переслідування справді відбуваються, але вони зазвичай настають через роки після того, як жертви та їхні клієнти вже зазнали шкоди.

Що це означає для вас

Якщо ви керуєте бізнесом, висновок полягає не в тому, що виплати викупу є безпечними просто тому, що жоден кримінальний закон не забороняє їх прямо. Ризик санкцій реальний, і він застосовується, навіть якщо ви не знали, кому ви платите. Перш ніж здійснювати будь-який платіж, організаціям необхідно провести перевірку на санкції, юридичний огляд і чітко розуміти, що штрафи OFAC можуть застосовуватися незалежно від добросовісних намірів.

Якщо ви споживач, чиї дані могли бути втягнуті в один із таких інцидентів, урок інший, але пов'язаний: виплата компанією викупу не тотожна захисту ваших даних. Рішення про платіж формуються міркуваннями юридичного та фінансового ризику, а не обов'язково тим, що найкраще захищає вашу конфіденційність.

Ключові висновки

  • Жоден федеральний закон категорично не забороняє виплати викупу, але санкції OFAC все ще можуть створити цивільну відповідальність.
  • Відповідальність за санкційним законодавством може наставати, навіть без знання про те, що платіж потрапив до заблокованої особи або юрисдикції.
  • Виплата викупу не гарантує, що викрадені дані будуть видалені або не потраплять на кримінальні ринки.
  • Організації повинні залучати юрисконсульта та перевірку на санкції перед здійсненням будь-якого викупу.
  • Споживачі, які постраждали від витоку, повинні стежити за експозицією самостійно, а не припускати, що платіж усунув ризик.