当勒索软件支付成为联邦合规问题
勒索软件早已不是日常IT头疼问题那么简单。对许多组织来说，勒索软件攻击现在会触发一场全面的危机，在受影响的系统甚至还未恢复之前，就已涉及法律顾问、执法部门、保险公司，有时还有联邦监管机构。最近一项关于勒索软件和敲诈法律问题的分析，道出了一个许多高管仍低估的现实：支付赎金的决定并非纯粹的商业决策，而是一个存在切实法律风险的决定，尤其当美国财政部外国资产控制办公室（OFAC）介入时更是如此。
OFAC维护着制裁名单，其中包括网络犯罪组织、个人以及为其提供庇护的司法管辖区。如果勒索软件支付的赎金落入受制裁的实体手中，即便是无心之失，支付的组织也可能面临民事处罚，无论其意图如何。对于那些在危机时刻本能反应只是尽快了事的公司来说，这无疑是一个发人深省的难题。
为何支付赎金并不能保证问题解决
除了制裁风险，向勒索者汇款还有一个现实原因需要三思：支付赎金往往并不能化解组织数据和隐私面临的潜在威胁。此前这里报道的研究显示，三分之一的勒索软件支付者会再次遭到攻击，这意味着付款可能标志着第二轮勒索的开始，而非第一轮的结束。另有数据证实了这一点：一项研究发现，37%的勒索软件受害者在支付过一次后仍面临第二次勒索要求，而进一步的报告显示，勒索软件团伙对22%已支付赎金的受害者进行二次勒索，这些受害者本以为事情已经了结。
这一模式对隐私而言关系重大。如今许多勒索软件事件在加密数据的同时还涉及数据窃取，这意味着无论是否支付赎金，敏感的客户记录、员工数据或健康信息可能早已保存在犯罪分子的服务器上。为换取删除数据的承诺而付款，并不能提供可强制执行的保证，而反复的勒索企图表明，这种承诺常常被打破。
赎金支付经济模式的转变
有迹象显示，这种盘算正在发生变化。正如最近的一次综合报道所述，随着越来越多的组织选择从备份中恢复、与执法部门合作并承受声誉打击，而不是向可能受制裁的犯罪集团提供资金，全行业范围的勒索软件支付额在下降。与此同时，勒索金额本身却在持续攀升。Stadler Rail数据泄露事件中，Everest团伙索要1230万美元，这表明勒索数额已远超许多中型组织能够悄然承受或有理由支付的水平，更不用说还有制裁风险。
这种组合——付款的组织更少，但勒索金额更大——表明，威胁行为体正越来越多地瞄准那些他们认为既有财力又有动机迅速付款的实体，比如处理受监管数据或运营关键基础设施的机构。
这对您意味着什么
如果您的组织处理敏感数据，无论是客户记录、健康信息还是金融详情，勒索软件带来的法律风险已超出直接的运营损失。在事件发生之前，就值得了解以下几点：
- 未经适当的尽职调查就支付赎金，可能使您的组织面临OFAC的执法行动，这与任何数据泄露通知义务是分开的。
- 鉴于受害者频繁再次遭受攻击，支付赎金并不能保证数据会被删除，也不能保证未来免受勒索企图的侵害。
- 网络保险政策日益要求在授权支付任何赎金之前，必须制定有文件记录的应急响应计划并征询法律意见。
- 监管机构和法院正在更加密切地关注组织如何处理支付决策以及对受影响个人的隐私影响。
对普通消费者而言，这凸显了数据最小化、账户强认证以及关注数据泄露通知的重要性。即使公司支付了赎金，也无法保证您的数据尚未被窃取并复制到其他地方。
可行的建议
面对这种形势，组织应在攻击发生之前就制定好应急响应计划，该计划应包含熟悉OFAC制裁框架的法律顾问、清晰的逐级上报程序，以及关于是否考虑支付赎金的政策。在事件初期就咨询执法部门和OFAC自身的指导意见，有助于在资金转移之前明确制裁风险。同时，个人应认真对待数据泄露通知，更换被重复使用的密码，并在涉及敏感账户的所有地方启用多因素认证。勒索软件不会消失，但了解围绕赎金支付和OFAC制裁的法律环境，如今已成为攻击发生后管理企业风险和个人隐私的核心环节。
