联邦并无法律明文禁止勒索赎金，但问题不止于此
Spodek 法律集团近期发布的一份法律解释指出，令许多遭受勒索软件攻击的组织感到意外：没有任何联邦法规明确禁止支付赎金。即使付款时攻击者的身份未知，这一结论依然成立。对于面临系统被加密、客户数据被盗以及日益严重的停机损失的公司来说，听起来似乎可以干脆付钱了事。
并非如此。缺乏全面刑事禁令并不代表勒索赎金支付毫无风险。真正的风险来自一个完全不同的方向：由财政部外国资产控制办公室（OFAC）执行的制裁法律。
OFAC 制裁如何介入
OFAC 维护着与网络犯罪、国家支持的黑客活动及其他非法活动相关的受限个人、实体和司法管辖区名单。如果勒索赎金最终落入受制裁人员或被全面制裁的国家手中，受害组织以及有时促成付款的中介方，无论是否有意，都可能面临民事处罚。换句话说，公司无需明知故犯地向受制裁方汇款才会违规；只要发生了汇款，就足以构成违规。
这是一种严格责任框架，也正是为什么漏洞响应如今不只是一项技术工作，同样是一场法律实践。我们此前关于勒索赎金支付面临 OFAC 制裁风险的报道，更详细地梳理了这一动态：事件响应团队如今通常会引入外部法律顾问和制裁筛查专家，才敢批准任何付款，因为一笔错误的电汇就可能将数据泄露事件升级为监管执法行动。
政府也已表明，他们愿意制裁那些为勒索软件提供便利的基础设施，而不仅仅是攻击者本身。财政部决定制裁与勒索软件活动有关的 VPN 服务，正如我们在财政部首次针对 VPN 的制裁行动中报道的那样，这一信号意味着执法之网已远远超出撰写勒索信的个人。支付或洗钱链中的任何一环，包括那些匿名化资金轨迹的服务，都可能成为制裁目标。
受害者常忽略的隐私视角
尽管大部分关于勒索软件制裁的讨论都聚焦于付款公司的财务和法律风险，但一个值得更多关注的维度是隐私问题。当组织支付赎金时，往往是为了防止被盗的个人数据（客户记录、健康信息、员工档案）被公开或出售。但付款并不能保证数据会被删除，也无法保证日后不会再次浮现。已经窃取了敏感记录的攻击者，即使在款项到账后依然握有筹码，而没有任何可强制执行的机制能迫使他们兑现删除承诺。
这一现实正在公开上演。我们最近关于勒索赎金支付下降，23andMe 以 1800 万美元和解的报道表明，无论公司做出怎样的赎金决定，数据泄露的余波都会持续很久，受影响者将承受基因数据与个人数据被泄露的后果。对消费者而言，在董事会和律所上演的制裁辩论，本质上是一场关乎其数据能否保持私密的代理战。
执法成果为这一背景添加了另一层注脚。我们报道的白俄罗斯黑客勒索卡特尔案中，操纵“Ransom Cartel”运作的黑客被判处 16 年徒刑，说明起诉确确实实会发生，但它们通常要在受害者及其客户已承受全部伤害数年之后才到来。
这对您意味着什么
如果您经营一家企业，需要明白赎金支付绝非仅因为缺乏刑事禁令便安然无虞。制裁风险真实存在，即便您在付款时并不知道对方是谁，制裁规则同样适用。任何付款作出之前，组织都必须进行制裁筛查、法律审查，并清醒认识到，无论善意与否，OFAC 都可能施加处罚。
如果您的个人数据被牵涉进这类事件，得到的启示虽然不同却密切相关：公司支付赎金并不等于您的数据受到了保护。付款决策受到法律与财务风险计算的驱动，而非必然出于最能保护您隐私的考量。
关键要点
- 没有任何联邦法规明确禁止勒索赎金，但 OFAC 制裁仍可能引发民事责任。
- 根据制裁法律，即使不知道付款流向被封锁的人员或司法管辖区，也可能产生法律责任。
- 支付赎金并不保证被盗数据已被删除或不会流入犯罪市场。
- 组织在做出任何勒索赎金支付之前，应当引入法律顾问和制裁筛查。
- 受到数据泄露影响的消费者应独立监测风险，而不要认为一次付款便能消除隐患。
