Vietare o non vietare: ecco la difficile questione attualmente oggetto di dibattito da parte dei legislatori di tutto il mondo, in risposta al tasso vertiginoso di attacchi ransomware contro aziende, enti governativi e altre organizzazioni.
I sostenitori della messa al bando del pagamento dei riscatti per il ransomware “ ” ritengono che si tratti semplicemente di una questione di domanda e offerta: se gli hacker sapranno che alle organizzazioni di uno Stato o di un Paese è vietato pagare i riscatti, concentreranno i propri attacchi altrove. L'FBI disapprova la pratica di pagare i riscatti richiesti dai ransomware, ritenendo che ciò incentivi i malintenzionati a continuare a svolgere la loro attività. Oltre ai dibattiti in corso al Congresso, quest’anno almeno tre Stati —New York, Pennsylvania e Carolina del Nord — hanno preso in considerazione la possibilità di vietare il pagamento di riscatti, e sia i repubblicani che i democratici hanno presentato proposte di legge a livello statale e federale.
Gli scettici temono che una normativa di questo tipo possa causare più danni che benefici, creando una serie di ulteriori problemi alle vittime di attacchi informatici e rendendole forse ancora più vulnerabili a ulteriori minacce. Se un’organizzazione decidesse di aggirare la legge e pagare un riscatto, gli hacker sarebbero allora in grado di ricattare ulteriormente la vittima per mantenere segrete tali informazioni.
Megan Brown, ex consulente legale del procuratore generale degli Stati Uniti, fa parte della schiera degli scettici. Attualmente avvocato specializzato in sicurezza informatica presso lo studio Wiley Rein LLP, Brown è solidale con gli imprenditori e i dirigenti delle organizzazioni che si trovano sempre più spesso sotto attacco.
In una discussione schietta con l’ di Endpoint di , la Brown espone il proprio punto di vista sulle leggi attualmente all’esame del Congresso, che imporrebbero alle vittime di segnalare gli attacchi ransomware e i pagamenti del riscatto, e spiega perché non è convinta che tali misure possano essere d’aiuto.
La conversazione è stata sintetizzata e leggermente modificata per motivi di lunghezza.
Come si consiglia a un’azienda vittima di un attacco ransomware se pagare o meno?
Le aziende tendono a prendere autonomamente e in tempi piuttosto rapidi la decisione binaria se pagare o meno. Il ruolo degli avvocati consiste quindi nel gestire i rischi connessi a tale decisione.
Quali sono i rischi legati al pagamento di un riscatto in caso di attacco ransomware ai sensi della normativa vigente?
Esiste il rischio che Lei stia fornendo denaro ai terroristi. E questo è illegale. Diversi regimi normativi federali, che si tratti dell’Office of Foreign Assets Control [OFAC] o di altri organismi, prevedono un chiaro e inequivocabile divieto prima che si possano trasferire fondi a terroristi o a chiunque figuri nell’elenco delle entità designate.
«Coloro che adottano una posizione assoluta — “È immorale pagare il riscatto” — dovrebbero dirlo a uno studio medico che non riesce a fissare un intervento chirurgico.»”
Si tratta di un regime di responsabilità oggettiva, il che significa che, anche se non sapeva di stare versando denaro a un’organizzazione di copertura di un gruppo terroristico, qualora la cosa venisse alla luce, si troverebbe nei guai.
Allora, perché le aziende finiscono per pagare i criminali informatici?
C'è un rischio enorme che, a mio avviso, le persone non si rendono conto. Se ricoprite una carica dirigenziale di alto livello o fate parte del consiglio di amministrazione di una società, avete un obbligo fiduciario nei confronti di tale società, dei suoi azionisti, proprietari e investitori: tutti, dagli hedge fund ai nonni che hanno investito i propri risparmi per la pensione in azioni.
Supponiamo, ad esempio, che la Sua azienda sia vittima di un attacco ransomware paralizzante di tipo “ ”. Non riesce a far funzionare i backup e tutti i suoi dati sono crittografati. Se non pagate il riscatto, state adempiendo al vostro dovere fiduciario? Se è possibile far risparmiare all’azienda centinaia di migliaia in bitcoin, quale sarebbe allora la linea di condotta razionale che tale amministratore fiduciario dovrebbe adottare? In molti casi, si tratta di pagare.
Molti ritengono che pagare il riscatto sia una scelta sbagliata. Punto. Le aziende non dovrebbero assumersi una maggiore responsabilità nel proteggersi fin dall’inizio?
Coloro che adottano una posizione assoluta — «È immorale pagare il riscatto» — dovrebbero dirlo a uno studio medico di che non riesce a fissare un intervento chirurgico. Oppure un’azienda che non riesce ad accedere ai propri file fondamentali, non è in grado di fornire i propri servizi e rischia di fallire.
«Semplicemente nonsono convinto che la soluzione sia quella di punire le vittime.”
Respingo l’idea secondo cui queste aziende siano responsabili di questa situazione. E anche se così fosse, dal punto di vista della società nel suo complesso, la risposta giusta è che un’azienda debba chiudere i battenti? Che una scuola non riesca a funzionare o che una serie di dati sensibili finisca sul dark web?
Tuttavia, non vi sono forse ragioni di ordine pubblico per porre fine al pagamento dei riscatti richiesti dai ransomware?
Oh, certo. State creando un mercato che prevede incentivi
per il protrarsi di comportamenti scorretti, giusto? Ci sono malintenzionati che offrono il ransomware come servizio ad altri malintenzionati perché c’è da guadagnare. Semplicemente non sono convinto che la soluzione sia quella di punire le vittime.
Che ne pensate di limitare l’uso delle criptovalute per impedire il pagamento dei riscatti?
Gli esperti di blockchain direbbero che l’uso del bitcoin e di queste valute digitali è in realtà utile, poiché esistono modi per tracciare i pagamenti. Lo avete visto con il Dipartimento di Giustizia (DOJ) che ha recuperato parte del riscatto pagato alla Colonial Pipeline.
Cosa ne pensa delle leggi sul ransomware che l’amministrazione Biden sta promuovendo e che il Congresso sta attualmente valutando?
Sembra che si stia delineando un consenso verso l’adozione di un obbligo generale di segnalazione degli incidenti. Alcuni progetti di legge imporrebbero alle vittime di comunicare tempestivamente alle autorità se sono state oggetto di un attacco o di una minaccia di ransomware, se hanno pagato il riscatto e a chi. Il settore privato deve essere consapevole del fatto che, in caso di attacco informatico, ci si aspetta che lo segnali.
È probabile che venga approvata una legge che vieti del tutto il pagamento del riscatto?
Non mi stupirei affatto se scoprissi che tale disposizione è contenuta in uno dei disegni di legge meno realizzabili.
Non è lì che si concentra lo slancio?
Il testo che ho visionato prevede il controllo incrociato con gli elenchi dei soggetti indesiderati e, successivamente, la valutazione di alternative al pagamento, ad esempio chiedendo: “È possibile riprendere l’attività utilizzando i backup?” Potrebbe fare qualcos’altro prima del pagamento?
«Se si intende legiferare, si dovrebbe cercare di incoraggiare l’attività volontaria ricorrendo alla carota, piuttosto che al bastone.»”
L'idea è quella di assicurarsi di aver svolto le dovute verifiche prima del pagamento. Francamente, ritengo che gran parte di tale due diligence venga già effettuata. Nessuna azienda desidera entrare in conflitto con il regime dell’OFAC.
Gli ulteriori obblighi di rendicontazione proposti sono ragionevoli?
La mia preoccupazione è che l’obbligo di segnalazione rischi di scoraggiare la cooperazione volontaria. Molte aziende si rivolgono già al DHS [Dipartimento per la Sicurezza Interna]. Chiamano l’FBI.
Quando esiste una legge che impone di presentare la segnalazione entro 72 ore e, in caso di errore, il governo vi punirà severamente, la situazione cambia completamente. Oggi potreste sentirvi più liberi di dire: «Questo è ciò che abbiamo visto, ma non sappiamo esattamente di cosa si tratti».
[Leggi anche: Come le aziende stanno affrontando il problema del ransomware]
Potreste esprimervi con maggiore libertà rispetto a quando si tratta di redigere un rapporto scritto che deve contenere i seguenti 25 elementi — e se commettete un errore, l’agenzia può intervenire e infliggervi una sanzione.
Se fosse Lei a dover redigere le leggi, quali sarebbero?
Non so se sia necessaria un’altra legge. Oppure, se si intende legiferare, si dovrebbe cercare di incoraggiare l’attività di volontariato ricorrendo alla carota, piuttosto che al bastone.
Se volete che qualcuno faccia qualcosa, dovete fare in modo che per lui sia poco costoso e privo di rischi, giusto? Garantite loro tutele in materia di responsabilità civile, semplificate loro le cose. Esiste già il CISA, il Cybersecurity Information Sharing Act del 2015, che ha carattere permissivo. Incoraggia la condivisione volontaria e offre una serie di garanzie a tutela di tale attività. Non capisco perché non stiano valutando di rafforzare tale aspetto, ma eccoci qui.
