Коли виплата програмі-вимагачу стає проблемою федерального комплаєнсу

Програми-вимагачі давно вийшли за межі звичайних ІТ-проблем. Для багатьох організацій атака програм-вимагачів тепер спричиняє повномасштабну кризу із залученням юристів, правоохоронних органів, страхових компаній, а іноді й федеральних регуляторів — і все це ще до того, як уражені системи взагалі вдасться відновити. Нещодавній юридичний аналіз правових аспектів програм-вимагачів та здирництва окреслює реальність, яку багато керівників досі недооцінюють: рішення сплатити викуп не є суто бізнесовим рішенням. Це рішення з реальними юридичними ризиками, особливо коли на сцену виходить Управління з контролю за іноземними активами (OFAC) Міністерства фінансів США.

OFAC веде санкційні списки, до яких входять кіберзлочинні угруповання, окремі особи та юрисдикції, що їх прикривають. Якщо виплата програмі-вимагачу потрапить до рук підсанкційної особи, навіть ненавмисно, організація-платник може зіткнутися з цивільною відповідальністю незалежно від наміру. Це протверезний нюанс для компаній, чиїм інстинктом у кризовій ситуації є просто якнайшвидше позбутися проблеми.

Чому виплата не гарантує зникнення проблеми

Окрім санкційного ризику, є практична причина двічі подумати перед тим, як переказувати кошти здирнику: виплата часто не усуває основну загрозу для даних і приватності організації. Дослідження, про яке ми вже писали раніше, показало, що кожен третій платник викупу зазнає повторної атаки, тобто виплата може стати початком другого раунду здирництва, а не завершенням першого. Окремі дані це підтверджують: дослідження виявило, що 37% жертв програм-вимагачів стикаються з повторною вимогою після того, як уже заплатили одного разу, а подальші звіти показують, що угруповання програм-вимагачів повторно здирають 22% жертв, які вважали, що закрили цю сторінку.

Ця закономірність має величезне значення для приватності. Багато інцидентів із програмами-вимагачами сьогодні включають витік даних поряд із шифруванням, тобто конфіденційні записи клієнтів, дані працівників або медична інформація вже можуть перебувати на злочинному сервері, незалежно від того, чи сплачено викуп. Оплата за обіцянку видалення не дає жодної реальної гарантії, а спроби повторного здирництва свідчать, що ця обіцянка часто порушується.

Зміна економіки викупних платежів

З'являються ознаки того, що розрахунки змінюються. Як повідомлялося в нещодавньому огляді, виплати програм-вимагачам знижуються по всій галузі, оскільки дедалі більше організацій обирають відновлення з резервних копій, співпрацю з правоохоронцями та прийняття репутаційного удару, а не фінансування злочинних підприємств, які можуть перебувати під санкціями. Водночас самі вимоги продовжують зростати. Витік даних Stadler Rail із вимогою $12,3 мільйона від угруповання Everest ілюструє, як масштаби здирництва вийшли далеко за межі того, що багато організацій середнього розміру можуть непомітно поглинути або виправдати, не кажучи вже про санкційний ризик.

Це поєднання — менше організацій платять, але вимоги зростають — свідчить про те, що зловмисники дедалі частіше націлюються на суб'єктів, які, на їхню думку, мають і засоби, і мотивацію платити швидко, наприклад, на тих, хто обробляє регульовані дані або керує критичною інфраструктурою.

Що це означає для вас

Якщо ваша організація обробляє конфіденційні дані — чи то записи клієнтів, медичну інформацію, чи фінансові відомості — юридичні ризики, пов'язані з програмами-вимагачами, виходять за межі безпосередніх операційних збитків. Ще до того, як станеться інцидент, варто розуміти, що:

  • Виплата викупу без належної перевірки може наразити вашу організацію на примусові заходи з боку OFAC, окремо від будь-яких зобов'язань щодо повідомлення про витік даних.
  • Виплата не гарантує видалення даних або захисту від майбутніх спроб здирництва, враховуючи, як часто жертви стають мішенню повторно.
  • Поліси кіберстрахування дедалі частіше вимагають задокументованих планів реагування на інциденти та юридичних консультацій перед тим, як будь-яка виплата викупу буде дозволена.
  • Регулятори та суди приділяють дедалі більше уваги тому, як організації вирішують питання виплати та наслідків для приватності постраждалих осіб.

Для пересічних споживачів це підкреслює, чому мінімізація даних, надійна автентифікація облікових записів і моніторинг повідомлень про витоки мають значення. Навіть коли компанія платить, немає жодної гарантії, що ваші дані вже не були викрадені та скопійовані в інше місце.

Практичні висновки

Організації, які стикаються з таким ландшафтом загроз, повинні розробити план реагування на інциденти задовго до атаки — план, що включає юридичного радника, обізнаного з санкційною системою OFAC, чіткі процедури ескалації та політику щодо того, чи будуть взагалі розглядатися виплати викупу. Консультації з правоохоронними органами та власними рекомендаціями OFAC на ранньому етапі інциденту можуть допомогти прояснити санкційні ризики до того, як будь-які кошти будуть переміщені. Водночас окремим особам варто серйозно ставитися до повідомлень про витоки, змінювати повторно використані паролі та вмикати багатофакторну автентифікацію для всіх конфіденційних облікових записів. Програми-вимагачі нікуди не зникають, але розуміння юридичного ландшафту навколо викупних платежів і санкцій OFAC тепер є ключовою частиною управління як корпоративними ризиками, так і особистою приватністю після атаки.