랜섬웨어 요구 사항 지불의 법적 의미는 무엇입니까?

조직은 랜섬웨어 공격 시 최선의 전략은 공격자의 요구 사항을 충족시키는 것이라고 생각할 수 있지만 그렇게 하면 법적 어려움에 빠질 수 있습니다. 연방 정부가 개입하면 몸값 자체보다 재정적 영향이 더 커질 것입니다. 이러한 상황에서 기업이 자산을 보호하기 위해 해야 할 일과 피해야 할 일은 다음과 같습니다.

대부분의 조직이 몸값을 지불합니까?

랜섬웨어 공격은 모든 산업에 큰 영향을 미칩니다. 불행하게도 점점 더 심각해지고 있습니다. 사건' 비용이 4억 달러를 초과했습니다. 2020년에는 2019년 전체의 4배에 달하는 수치입니다. 이러한 공격은 사람들의 생계를 위협하므로 많은 사람들이 몸값을 지불해야 한다는 극심한 압력을 느낍니다.

사실은, 피해자의 약 50% 몸값을 지불하십시오. 그러나 대부분이 공격자의 요구에 굴복하더라도 4%만이 모든 데이터를 해독하여 그대로 돌려받습니다. 규정을 준수하는 것이 최선의 접근 방식처럼 보일 수 있지만 효과가 없는 경우가 많습니다.

몸값을 지불하는 것은 불법인가요?

랜섬웨어 공격 중에 몸값을 지불하는 것은 기술적으로 불법입니다. 결국, 공격자가 어디에 있는지 추적하거나 그들이 누구를 위해 일하는지 알아내는 것은 거의 불가능합니다. 그리고 정부는 테러 단체나 수출 금지 국가에 자금을 지원하는 미국 기관에 눈살을 찌푸립니다.

불법임에도 불구하고 조직에서는 몸값을 지불하는 이유는 무엇입니까? 많은 사람들이 합법성에 대해 알지 못할 수도 있지만 일부는 이것이 최선의 선택이라고 믿기 때문에 이를 따릅니다. 비용 분석 후 벌금을 지불하는 것이 더 저렴할 수 있다는 것을 깨달았습니다.

맬웨어 공격 포함 약 50일 정도 소요 평균적으로 이러한 가동 중단 시간의 연장은 브랜드의 매출과 평판을 떨어뜨릴 수 있습니다. 데이터를 영구적으로 손실하고 정부 조사를 받고 대중의 반발을 받는 대신 일부는 조용히 공격자에게 비용을 지불합니다. 계산된 위험처럼 보일 수도 있지만 잠재적인 영향은 일반적으로 그만한 가치가 없습니다.

랜섬웨어 공격에 대한 법적 고려사항

많은 지역 및 연방 명령이 사이버 공격 및 랜섬웨어와 관련되어 있습니다. 미국에 거주하거나 사업을 하는 사람들은 이러한 법적 요건을 준수해야 합니다.

조직에 대한 기본 법률 및 고려 사항은 다음과 같습니다.

• 이해관계자에게 알림: 조직은 일반적으로 이해관계자에게 랜섬웨어 공격에 대해 알려야 합니다. 현지 법률에 따라 공개 성명을 발표하거나 모든 고객에게 통지해야 할 수도 있습니다.
• 몸값 지불: 연방 및 지방 정부는 보안 문제이기 때문에 이에 대해 엄격한 규칙을 적용하고 있습니다. 그들은 이를 자금이나 지원으로 간주합니다.
• 법 집행 기관에 통보: CISA(사이버보안 및 인프라 보안국)에서는 다음과 같이 명시합니다. 시기적절한 보고는 필수입니다 모든 랜섬웨어 사고에 대해 피해자는 관련 미국 정부 기관에 알려야 합니다.
• 고객에게 알림: 랜섬웨어 공격이 데이터 보안에 영향을 미치는 경우 조직은 고객에게 알려야 합니다. 결국, 공격자가 개인 정보나 금융 정보를 노출하면 개인 정보가 위험에 처하게 됩니다.

정확한 보고 의무 사항은 주 및 업계에 따라 다르지만 모두 조직에서 법 집행 기관에 이를 알려야 합니다. 상황이 통제되더라도 관련 당국에 이를 공개해야 합니다.

연방 정부의 요구 사항은 무엇입니까?

연방 정부에는 랜섬웨어에 관한 명시적이고 포괄적인 법률이 없지만 몸값 지불을 일종의 거래로 간주합니다. 이러한 기술로 인해 공격자와 교전하는 것은 불법입니다. 그렇게 하면 가혹한 처벌을 받을 수 있습니다. 미국 재무부 산하 해외자산통제국(OFAC)이 이러한 사건의 대부분을 감독합니다.

국제비상경제권한법(IEEPA) 및 적국과의 무역법(TWEA)은 외국 금융 참여에 대해 엄격한 규칙을 두고 있습니다. 그것 거래를 하는 것은 불법입니다 OFAC의 특별 지정 국민 및 차단자 목록에 있는 개인 또는 단체와 공유합니다. 또한, 금수 조치를 받은 사람들과 거래하는 것은 범죄입니다.

이러한 법률과 법률에서는 몸값 지불에 대해 명시적으로 논의하지 않을 수 있지만 랜섬웨어에 대해서는 다루고 있습니다. 제재 위반은 일반적으로 민사 처벌로 이어지며, 이는 조직이 막대한 벌금이나 합의금을 지불해야 함을 의미합니다. 어떤 사람들은 정부가 그들의 행동이 범죄적이거나 형사상 과실이라고 판단할 경우 감옥에 갈 수도 있습니다.

결정적으로, 정부는 해당 행위를 인지하지 못한 사람이라도 법적 영향을 받을 수 있다고 지적합니다. 자신의 행동이 불법인지 몰랐더라도 민사상 책임을 물을 수 있습니다. 기업이 패닉 상태에 빠져 공격이 발생하자마자 몸값을 지불하더라도 여전히 OFAC, CISA 및 기타 기관에 답변해야 합니다.

지방 정부의 요구 사항은 무엇입니까?

조직은 지방 정부도 랜섬웨어에 대한 입장을 갖고 있다는 점을 기억해야 합니다. 대부분의 경우 벌금과 법적 영향을 부과합니다. 모든 주와 미국 영토에는 자체적인 데이터 위반 보고 의무와 처벌이 있습니다.

각 주마다 구체적인 법률이 다르지만 각 주마다 기업이 이해관계자에게 통지하도록 요구합니다. 그리고 법 집행. 현지 시설에는 일반적으로 랜섬웨어를 처리할 장비가 없기 때문에 책임은 FBI, CISA 또는 국토안보부와 같은 연방 기관에 있습니다.

많은 주에서는 몸값 지불을 권장하지 않지만(일부에서는 랜섬웨어 공격자와의 통신을 금지하기도 함), 벌금은 일반적으로 데이터 개인 정보 보호와 관련이 있습니다. 지방 법 집행 기관과 공공 기관은 연방 정부만큼 많은 권한을 갖고 있지 않으므로 일반적으로 사람들의 사적인 문제에 관여하지 않습니다.

그들은 여전히 데이터 침해에 신속하게 대응할 수 있으며 필요하다고 느낄 경우 벌금을 부과할 것입니다. 부터 공격자의 거의 50% 랜섬웨어 공격을 시작하기 전에 데이터를 훔치려면 조직은 해당 주의 법률에 따라야 할 가능성이 높습니다.

조직이 몸값을 지불하지 말아야 하는 이유는 무엇입니까?

조직이 랜섬웨어 요구 사항을 지불하면 법적 문제가 발생합니다. 연방 정부는 지급금을 범죄 단체에 대한 자금 조달로 간주하므로 신속하게 대응할 것입니다. 벌금은 수천 달러에서 수백만 달러까지 다양하며, 초기 몸값보다 재정적 타격이 더 큰 경우가 많습니다.

벌금 외에도 법집행기관은 사건을 법무부에 넘길 수도 있습니다. 또한 규정을 준수하지 않는 조직을 법정에 고소할 수 있으며, 법원에서는 재정적 및 평판에 대한 처벌이 훨씬 더 엄격해질 것입니다.

또한, 정부가 기업이 랜섬웨어 지급을 은폐하기 위해 고군분투한 것을 발견하면 형사적 책임을 물을 수도 있습니다. 형사 처벌은 훨씬 더 엄격하며, 세부 사항에 따라 감옥에 갇힐 수도 있습니다.

대신 조직은 무엇을 해야 합니까?

조직은 몸값을 지불하는 대신 관련 당국에 연락해야 합니다. 2022년 미국 사이버보안 강화법(SAC)에 따르면 모든 중요한 국가 인프라 조직은 랜섬웨어 공격을 CISA(사이버보안 및 인프라 보안국)에 공개해야 합니다. 72시간 이내에 아니면 처벌을 받거나. 피해자가 몸값을 지불하면 시간은 24시간으로 단축됩니다.

그러나 CISA의 존재는 단지 첫 번째 단계에 불과합니다. 또한 국토안보부, OFAC의 제재 및 규정 준수 평가 부서, FBI의 사이버 태스크포스에도 문의해야 합니다. 이들 기관은 항상 랜섬웨어 공격을 처리하고 이를 처리하는 최선의 방법을 알고 있습니다.

랜섬웨어 요구를 무시하는 것이 최선의 접근 방식입니다

대부분의 회사는 공격자가 악의적인 페이월 뒤에 데이터를 잠갔다는 사실을 알게 되면 당황합니다. 그럼에도 불구하고 그들의 요구를 충족시키는 것은 최악의 접근 방식 중 하나입니다. 조직이 일단 법 집행 기관에 가면 보안 및 개인 정보 보호 벌금을 받을 수 있지만 IEEPA, TWEA 또는 미국 사이버 보안 강화법 위반으로 인해 수십만 달러를 지불할 필요가 없습니다.