Ransomware-betalingswetgeving: wat is logisch en wat niet?
In de afgelopen jaren zijn ransomware-aanvallen de meest lucratieve tak van cybercriminaliteit geworden. De grootste, gevaarlijkste en meest succesvolle dreigingsactoren en soorten ransomware hebben tot nu toe tientallen miljoenen dollars gegenereerd in 2021 en ze vertonen geen tekenen van vertraging in hun activiteit.
In het licht van dit turbulente ransomware-klimaat zijn er ideeën rondgegooid over een wettelijk kader dat alle ransomware-betalingen zou kunnen verbieden. Op het eerste gezicht zou de redenering achter een dergelijk verbod natuurlijk zijn dat op deze manier grote hoeveelheden geld niet meer in de schatkist van hackers en dreigingsactoren terechtkomen. Op papier is het betalen van losgeld in wezen het financieren van cybercriminelen.
Natuurlijk is het probleem nooit zo eenvoudig en zijn de zaken nooit zwart-wit. Zoals de laatste paar zeer spraakmakende ransomware-aanvallen in de VS hebben aangetoond, zijn er gevallen waarin kritieke infrastructuur wordt neergehaald en het hele land heeft er zwaar onder te lijden.
Colonial Pipeline, die meer dan $ 4 miljoen aan losgeld betaalde om een decoderingstool te krijgen, was de belangrijkste leverancier van vloeibare brandstof voor de hele oostkust. De ransomware-klus die de DarkSide-groep aan Colonial toevertrouwde, was in wezen zo schadelijk dat de getroffen staten brandstof moesten gaan transporteren naar afgelegen gebieden met behulp van tankwagenchauffeurs.
Het verbieden van ransomware-betalingen stopt aanvallen natuurlijk ook niet volledig. Bovendien, als een groot netwerk dat vitale infrastructuur bedient, wordt geraakt en het formatteren en opnieuw installeren te lang zou duren, zou een soortgelijk betalingsverbod mogelijk hele staten op de knieën kunnen brengen en hen in een noodtoestand kunnen brengen.
Graeme Newman, internationale cyberverzekeraar bij een grote Britse verzekeringsmaatschappij die zich ook bezighoudt met cyberverzekeringen, wees op een tussenoplossing. Als wetgevers willen voorkomen dat hackers miljoenen krijgen van zowat elk groter bedrijf, maar ook aanbieders van kritieke infrastructuur een vangnet willen geven, zou een gespecialiseerde instantie of een systeem van instanties nodig zijn. Die entiteiten zouden elke aanval van geval tot geval onderzoeken en een definitief besluit nemen of de betaling echt nodig is en of het weigeren ervan de vitale infrastructuur zou aantasten.
Op dit moment is er geen juridische belemmering voor een bedrijf dat wordt aangevallen met ransomware om de betaling uit te voeren, of dit nu via een verzekeraar of rechtstreeks gebeurt. Hoe groot de kans is dat deze situatie in de nabije toekomst zal veranderen, valt nog te bezien.
