El Departamento del Tesoro de EE.UU. avisa: Las víctimas de ransomware que paguen rescates pueden ser sancionadas.

Las empresas víctimas de ‘ransomware’ podían enfrentarse a fuertes multas del gobierno federal de EE.UU. si los delincuentes que se benefician del ataque ya están bajo sanciones económicas, advierte el Departamento del Tesoro.

En su aviso, la Oficina de Control de Activos Extranjeros de la Tesorería —en adelante, OFAC— comunica que “las empresas que facilitan los pagos de ‘ransomware’ a los ciberdelincuentes en nombre de las víctimas, incluidas instituciones financieras, empresas de seguros y empresas involucradas en análisis forense y respuesta a incidentes no solo fomentan las futuras demandas de pago de ‘ransomware’, sino que también corren el riesgo de violar las regulaciones de la OFAC «.

Dado que las pérdidas financieras derivadas de la actividad de ciberdelincuentes y, en particular, los ataques de ‘ransomware’ se han disparado en los últimos años, como ya se puede leer en artículos anteriores, el Departamento del Tesoro ha impuesto sanciones económicas, tanto a individuos como a grupos de cibercriminales, congelando todas las propiedades e intereses de estas personas —sujetas a la jurisdicción de EE.UU.— y convirtiendo cualquier transacción con ellos en un delito.

Varios de los sancionados han estado estrechamente vinculados con ataques de ‘ransomware’ y malware incluido el famoso Grupo Lazarus presuntamente asociados con el gobierno de Corea del Norte, de quienes se puede encontrar más información en artículos previos.

Otros ejemplos serían los dos presuntos iraníes vinculados a los ataques de ‘ransomware’ SamSam ; Evgeniy Bogachev , desarrollador del relevante Cryptolocker ; Evil Corp , un sindicato de ciberdelincuentes ruso que ha utilizado malware para extraer más de 100 millones de dolares de las empresas víctimas y una larga lista de más sancionados que no deja de crecer.

Aquellos que incumplan las normativas de la OFAC sin una dispensa especial o Licencia del Tesoro, pueden enfrentarse a repercusiones legales, incluidas multas de hasta 20 millones de dólares.

La Oficina Federal de Investigaciones —FBI— y otras agencias de aplicación de la ley han tratado de disuadir a las empresas de EE.UU. y de fuera de sus fronteras, afectadas por el ‘ransomware’, de que paguen a sus extorsionadores señalando que hacerlo solo ayuda a financiar más ataques y actos terroristas.

Sin embargo, en la práctica, un buen número de víctimas considera que pagar es la forma más rápida de reanudar las actividades con la máxima celeridad. No solo por velocidad, sino por no reconocer públicamente el ataque ni cómo sucedió. Además, los proveedores de seguros a menudo ayudan a facilitar los pagos tras una dura negociación porque el monto exigido termina siendo menor que lo que la aseguradora podría tener que pagar para cubrir el costo de la actividad comercial afectada que se mantiene al margen durante días o semanas seguidas. Se trata de priorizar con mayor contingencia el pago a los ciberdelincuentes en el menor tiempo posible.

Las empresas víctimas de ‘ransomware’ pueden no ser conocedoras de la identidad de los extorsionadores a los que pagan. Sin embargo si estos ciberdelincuentes pertenecen a la lista de sancionados por el Tesoro, son las empresas las que van a recibir una sanción explicaba Ginger Faulk , socio de la oficina de Washington, DC. bufete de abogados Eversheds Sutherland .

Faulk también expuso que la OFAC puede imponer sanciones civiles por infracciones de penas basadas en la «responsabilidad estricta» y una extensa lista en un lenguaje técnico de derecho. En esta, Faulk sostiene que una persona sujeta a la jurisdicción de los EE.UU. o asociados puede ser considerada civilmente —administrativo se refiere a que no es penal, generalmente una multa económica— responsable incluso si no sabía o tenía motivos para saber que estaba participando en una transacción con una persona o entidad sancionada por la OFAC, no saber o no poder saber a quien se va a efectuar el pago no te libra de la sanción.

Pero, Fabian Wosar , director de tecnología de la firma de seguridad informática Emsisoft, comunicó que las políticas del Tesoro analizadas no son nada nuevo. Estas constituyen principalmente una advertencia para las firmas víctimas individuales que pueden no estar trabajando ya con las fuerzas del orden y/o firmas de seguridad de terceros. También declara que las empresas que ayudan a las víctimas de ‘ransomware’ a negociar pagos más bajos y facilitan el intercambio financiero ya son conscientes de los riesgos legales de las infracciones de la OFAC y, por lo general, rechazan a los clientes que se vean afectados por ciertas cepas de ‘ransomware‘. “En mi experiencia, la OFAC y las empresas de seguros están en constante comunicación. A menudo, incluso existen procesos de compensación para determinar el riesgo de qué ciertos pagos infrinjan la OFAC«- afirmó.

Queda expuesto en estos párrafos que el Tesoro de EE.UU. quiere obstaculizar cualquier tipo de pago a cibercriminales, ya que al desconocer el receptor del dinero, puedes incurrir en un grave delito. Esta es una política que no tardará en extenderse a otros países.

Comunicar a la OFAC de forma rápida, con un informe oportuno y completo de la empresa que recibe un ataque de ‘ransomware’ a las fuerzas del orden público, es un factor atenuante significativo para determinar un resultado de aplicación apropiado si se determina que la situación tiene un nexo de sanciones».

Más información:

Treasury Sanctions Evil Corp, the Russia-Based Cybercriminal Group Behind Dridex Malware https://home.treasury.gov/news/press-releases/sm845

Dridex Malware https://us-cert.cisa.gov/ncas/alerts/aa19-339a

Wanted by the FBI https://www.fbi.gov/wanted/cyber/igor-olegovich-turashev https://www.fbi.gov/wanted/cyber/evgeniy-mikhailovich-bogachev

IN THE UNITED STATES DISTRICT COURT FOR THE WESTERN DISTRICT OF PENNSYLVANIA vs Evil Corp https://www.justice.gov/opa/press-release/file/1223586/download

Referencias:

Ransomware Victims That Pay Up Could Incur Steep Fines from Uncle Sam https://krebsonsecurity.com/2020/10/ransomware-victims-that-pay-up-could-incur-steep-fines-from-uncle-sam/

Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments https://home.treasury.gov/system/files/126/ofac_ransomware_advisory_10012020_1.pdf