OFAC: «выплата выкупов во время атак вирусов-вымогателей может нарушать санкции США»

Управление по контролю за иностранными активами Министерства финансов США (OFAC) заявило, что выплата выкупов злоумышленникам во время атак вирусов-вымогателей может нарушать санкции США.

Согласно выпущенному OFAC уведомлению, компании, соглашающиеся на выкуп во время атак вирусов-вымогателей, могут быть оштрафованы Соединенными Штатами за нарушение санкций. В соответствии с Законом о международных чрезвычайных экономических полномочиях (IEEPA) и Законом о запрещении торговли с враждебными государствами (TWEA) американским гражданам запрещается совершать сделки со странами, находящимися под санкциями, или людьми, включенными в «санкционный список» OFAC. По мнению Министерства финансов, именно такие люди чаще всего осуществляют атаки с помощью вирусов-вымогателей.

По мере роста числа атак вирусов-вымогателей появляются компании, которые помогают упростить платежи хакерам. В документе OFAC упоминаются «финансовые учреждения, фирмы киберстрахования и компании, участвующие в реагировании на инциденты», которые «поощряют будущие платежи злоумышленникам». Особое беспокойство правительства вызывает то, что выплата выкупов позволяет хакерам получать деньги, тогда как цель санкций – лишить их и правительства доступа к капиталу. В документе отмечается:

Однако выкупы можно производить при соблюдении определенных условий. Согласно руководящим принципам OFAC, компании, помогающие выплачивать выкупы во время атак вирусов-вымогателей, должны «внедрить основанную на оценке рисков программу соблюдения нормативных требований, чтобы снизить вероятность нарушения санкций». Эти компании должны также учитывать свои «нормативные обязательства» перед Сетью по борьбе с финансовыми преступлениями (FinCEN), отмечает OFAC.

Хакеры все чаще атакуют крупные организации и требуют выкуп в криптовалютах. В прошлом месяце группа хакеров NetWalker взломала систему Национального миграционного управления Аргентины (DNM), требуя заплатить $4 млн в BTC. В июне от атаки вредоносной программы, запущенной NetWalker, пострадали сразу три университета в США. Калифорнийскому университету в Сан-Франциско пришлось выплатить $1.14 млн в BTC, чтобы вернуть доступ к данным важных исследований, а Университет штата Мичиган отказался платить выкуп хакерам. По данным McAfee, с марта 2020 года хакерам NetWalker удалось получить от жертв более $25 млн.