Luật Liên bang không cấm thanh toán tiền chuộc ransomware, nhưng câu chuyện không chỉ dừng lại ở đó

Một bài giải thích pháp lý gần đây từ Spodek Law Group đưa ra một điểm khiến nhiều tổ chức bị tấn công ransomware ngạc nhiên: không có đạo luật liên bang nào nghiêm cấm việc trả tiền chuộc. Điều này vẫn đúng ngay cả khi danh tính của kẻ tấn công không được biết đến tại thời điểm thanh toán. Đối với các công ty đối mặt với hệ thống bị mã hóa, dữ liệu khách hàng bị đánh cắp và thời gian ngừng hoạt động ngày càng tăng, điều này nghe có vẻ như một tín hiệu bật đèn xanh để trả tiền và cho qua chuyện.

Nhưng thực tế không phải vậy. Việc không có lệnh cấm hình sự toàn diện không có nghĩa là các khoản thanh toán ransomware không có rủi ro. Nguy cơ thực sự đến từ một hướng hoàn toàn khác: luật trừng phạt được thực thi bởi Văn phòng Kiểm soát Tài sản Nước ngoài (OFAC) thuộc Bộ Ngân khố.

OFAC và các Lệnh trừng phạt can thiệp như thế nào

OFAC duy trì danh sách các cá nhân, tổ chức và khu vực pháp lý bị phong tỏa có liên quan đến tội phạm mạng, tấn công mạng được nhà nước bảo trợ và các hoạt động bất hợp pháp khác. Nếu một khoản thanh toán ransomware rơi vào tay một cá nhân bị trừng phạt hoặc một quốc gia bị trừng phạt toàn diện, tổ chức nạn nhân – và đôi khi cả các bên trung gian hỗ trợ thanh toán – có thể phải đối mặt với các hình phạt dân sự bất kể có chủ ý hay không. Nói cách khác, một công ty không cần phải cố ý gửi tiền cho một chủ thể bị trừng phạt mới vi phạm quy tắc; chỉ cần họ gửi tiền là đủ.

Đây là một khuôn khổ trách nhiệm pháp lý nghiêm ngặt, và đó chính là lý do tại sao việc ứng phó sự cố hiện nay vừa là một bài tập pháp lý, vừa là một bài tập kỹ thuật. Bài viết trước đây của chúng tôi về cách thanh toán ransomware có nguy cơ bị OFAC trừng phạt phân tích chi tiết hơn về động thái này: các đội ứng phó sự cố hiện nay thường xuyên có sự tham gia của cố vấn pháp lý bên ngoài và các chuyên gia sàng lọc trừng phạt trước khi cho phép bất kỳ khoản thanh toán nào, chính xác là vì một giao dịch chuyển tiền sai có thể biến một vụ vi phạm dữ liệu thành một hành động thực thi pháp lý.

Chính phủ cũng đã cho thấy họ sẵn sàng trừng phạt cơ sở hạ tầng hỗ trợ ransomware, chứ không chỉ riêng những kẻ tấn công. Quyết định của Bộ Ngân khố trừng phạt một dịch vụ VPN có liên quan đến các hoạt động ransomware, được đề cập trong báo cáo của chúng tôi về hành động trừng phạt VPN đầu tiên của Bộ Ngân khố, cho thấy lưới thực thi pháp luật mở rộng vượt xa những cá nhân trực tiếp đánh máy thông điệp đòi tiền chuộc. Bất kỳ ai trong chuỗi thanh toán hoặc rửa tiền, bao gồm các dịch vụ ẩn danh hóa dấu vết tiền bạc, đều có thể trở thành mục tiêu.

Khía cạnh về quyền riêng tư mà các nạn nhân thường bỏ qua

Trong khi hầu hết các thông tin về trừng phạt ransomware tập trung vào rủi ro tài chính và pháp lý cho công ty trả tiền, có một khía cạnh về quyền riêng tư đáng được chú ý hơn. Khi một tổ chức trả tiền chuộc, họ thường làm vậy để ngăn chặn dữ liệu cá nhân bị đánh cắp (hồ sơ khách hàng, thông tin sức khỏe, tệp nhân viên) bị công bố hoặc bán. Nhưng việc thanh toán không đảm bảo rằng dữ liệu đó bị xóa hoặc sẽ không xuất hiện trở lại sau này. Những kẻ tấn công đã đánh cắp các hồ sơ nhạy cảm vẫn giữ đòn bẩy ngay cả sau khi tiền chuộc được thanh toán, và không có cơ chế thực thi nào buộc chúng phải tôn trọng lời hứa xóa dữ liệu.

Thực tế đó đã diễn ra một cách công khai. Bài viết gần đây của chúng tôi về việc thanh toán ransomware giảm khi 23andMe dàn xếp với 18 triệu đô la cho thấy hậu quả từ một vụ vi phạm có thể tiếp tục kéo dài rất lâu sau bất kỳ quyết định trả tiền chuộc nào, với những cá nhân bị ảnh hưởng phải gánh chịu hậu quả của việc lộ dữ liệu di truyền và cá nhân bất kể công ty đã quyết định trả tiền hay chưa. Đối với người tiêu dùng, cuộc tranh luận về trừng phạt đang diễn ra trong các phòng họp hội đồng quản trị và văn phòng luật sư thực chất là một cuộc chiến ủy nhiệm về việc liệu dữ liệu của họ có được giữ kín hay không.

Kết quả thực thi pháp luật bổ sung thêm một lớp ngữ cảnh khác. Bản án 16 năm dành cho một hacker đứng sau chiến dịch Ransom Cartel, được trình bày chi tiết trong bài viết của chúng tôi về vụ án hacker Belarus và băng đảng tống tiền, cho thấy các vụ truy tố có xảy ra, nhưng thường chỉ đến nhiều năm sau khi nạn nhân và khách hàng của họ đã gánh chịu thiệt hại.

Điều này có ý nghĩa gì đối với bạn

Nếu bạn điều hành một doanh nghiệp, điều rút ra không phải là các khoản thanh toán ransomware là an toàn chỉ vì không có đạo luật hình sự nào cấm đoán chúng một cách triệt để. Rủi ro từ các lệnh trừng phạt là có thật, và nó được áp dụng ngay cả khi bạn không biết mình đang trả tiền cho ai. Trước khi thực hiện bất kỳ khoản thanh toán nào, các tổ chức cần sàng lọc trừng phạt, rà soát pháp lý, và hiểu rõ rằng các hình phạt của OFAC có thể được áp dụng bất kể ý định thiện chí.

Nếu bạn là người tiêu dùng có dữ liệu có thể bị vướng vào một trong những sự cố này, bài học thì khác nhưng có liên quan: một công ty trả tiền chuộc không đồng nghĩa với việc dữ liệu của bạn được bảo vệ. Các quyết định thanh toán được định hình bởi các tính toán rủi ro pháp lý và tài chính, chứ không nhất thiết bởi điều gì bảo vệ quyền riêng tư của bạn tốt nhất.

Những điểm chính cần nhớ

  • Không có đạo luật liên bang nào nghiêm cấm việc thanh toán ransomware, nhưng các lệnh trừng phạt của OFAC vẫn có thể tạo ra trách nhiệm dân sự.
  • Trách nhiệm pháp lý theo luật trừng phạt có thể phát sinh ngay cả khi không biết rằng khoản thanh toán đã đến tay một cá nhân hoặc khu vực pháp lý bị phong tỏa.
  • Trả tiền chuộc không đảm bảo dữ liệu bị đánh cắp sẽ bị xóa hoặc không bị đưa vào các chợ đen tội phạm.
  • Các tổ chức nên có sự tham gia của cố vấn pháp lý và sàng lọc trừng phạt trước khi thực hiện bất kỳ khoản thanh toán ransomware nào.
  • Người tiêu dùng bị ảnh hưởng bởi sự cố nên tự theo dõi nguy cơ bị lộ dữ liệu thay vì cho rằng khoản thanh toán đã giải quyết được rủi ro.