Pour interdire ou non, il s’agit de la question difficile actuellement débattue par les législateurs du monde entier en réponse à l’explosion du taux d’attaques par ransomware contre les entreprises, les agences gouvernementales et d’autres organisations.
Les défenseurs de l’interdiction des paiements de rançongiciels pensent qu’il s’agit d’une simple question d’offre et de demande : si les pirates informatiques savent que les organisations d’un État ou d’un pays n’ont pas le droit d’effectuer des paiements de rançon, ils concentreront leurs attaques ailleurs. Le FBI s’en prend à la pratique des paiements par rançongiciels, croyant qu’il incite les malfaiteurs à continuer à s’en prendre à leurs transactions. Outre les débats en cours au Congrès, au moins trois États, New York, Pennsylvanie et Caroline du Nord, ont envisagé des interdictions de rançon cette année, et la législation a été mise en place aux niveaux étatique et fédéral par les républicains et les démocrates.
Les sceptiques craignent que cette législation ne fasse plus de mal que de bien, créant une multitude de problèmes supplémentaires pour pirater les victimes, ce qui peut les rendre encore plus vulnérables à d’autres menaces. Si une organisation choisit de contourner la loi et de payer une rançon, les pirates informatiques seront alors en mesure de chanter davantage la cible pour garder ces informations secrètes.
Megan Brown, ancienne conseillère du procureur général des États-Unis, tombe dans le camp des sceptiques. À présent avocat en cybersécurité chez Wiley Rein LLP, Brown s’engage auprès des chefs d’entreprise et des dirigeants d’organisation qui se trouvent de plus en plus attaqués.
Lors d’une discussion franche avec Endpoint, Brown offre son point de vue sur les lois actuellement prises en compte par le Congrès, ce qui obligerait les victimes à signaler les attaques par rançongiciel et les paiements de rançon, et pourquoi elle n’est pas convaincue qu’elles aideront.
La conversation a été condensée et légèrement modifiée pour la durée.
Comment conseillez-vous une entreprise qui a été touchée par un rançongiciel sur le paiement ?
Les entreprises ont tendance à prendre la décision binaire de payer ou non assez rapidement par elles-mêmes. Ensuite, le rôle des avocats est de gérer les risques de cette décision.
Quels sont les risques liés au versement d’un rançongiciel en vertu de la loi actuelle ?
Il y a le risque que vous donniez de l’argent à des terroristes. Et c’est illégal. Divers régimes réglementaires fédéraux, qu’il s’agisse de l’Office of Foreign Assets Control [OFAC] ou d’autres, ont un grand panneau d’arrêt rouge avant de donner de l’argent à des terroristes, ou à toute personne figurant sur la liste des entités désignées.
« Les personnes qui sont absolutistes, « Il est immoral de payer la rançon », devraient le dire à un cabinet médical qui ne peut pas planifier d’intervention chirurgicale. »
Il s’agit d’un régime de responsabilité strict, ce qui signifie que même si vous ne saviez pas que vous donniez de l’argent à un front pour un groupe terroriste, si cela sortait, vous avez des ennuis.
Alors, pourquoi les entreprises finissent-elles par payer des cybercriminels ?
Il existe un risque énorme que je pense que les gens n’apprécient pas. Si vous êtes un cadre supérieur, ou si vous êtes membre du conseil d’administration d’une entreprise, vous avez un devoir fiduciaire envers cette entreprise et ses actionnaires, propriétaires et investisseurs, tout le monde, des fonds spéculatifs à la grand-mère et au grand-père qui ont leur retraite en actions.
Imaginons que votre entreprise soit touchée par une attaque par rançongiciel paralysante. Vous ne pouvez pas faire fonctionner vos sauvegardes et toutes vos données sont chiffrées. Si vous ne payez pas la rançon, remplissez-vous votre devoir fiduciaire ? Si vous pouvez sauver l’entreprise pour des centaines de milliers de bitcoins, quelle est la mesure rationnelle que ce fiduciaire doit prendre ? Dans de nombreux cas, c’est payer.
Beaucoup pensent que payer une rançon est la mauvaise chose à faire. Période. Les entreprises ne devraient-elles pas prendre plus de responsabilités pour se protéger dès le départ ?
Les personnes qui sont absolutistes, « Il est immoral de payer la rançon », devraient le dire à un cabinet médical qui ne peut pas planifier l’intervention chirurgicale. Ou une entreprise qui ne peut pas accéder à ses fichiers critiques, ne peut pas fournir de service et l’entreprise va mourir.
« Je ne suis tout simplement pas convaincu que la réponse consiste à punir les victimes. »
Je rejette le postulat que ces entreprises ont fait cela d’elles-mêmes. Et même s’ils l’ont fait, en tant que société, est-ce la bonne réponse qu’une entreprise cesse ses activités ? Qu’une école ne peut pas fonctionner ou qu’un tas de données sensibles finissent sur le dark web ?
Cependant, n’y a-t-il pas de cas de politique publique pour mettre un terme aux paiements par rançongiciel ?
Oh, bien sûr. Vous créez un marché qui comprend des incitations
pour une mauvaise action continue, n’est-ce pas ? Vous avez des malfaiteurs qui proposent des rançongiciels en tant que service à d’autres malfaiteurs, car il y a de l’argent à gagner. Je ne suis tout simplement pas convaincu que la réponse est de punir les victimes.
Qu’en est-il de la limitation de l’utilisation de la cryptomonnaie pour faciliter le paiement de la rançon ?
Les gens de la blockchain diraient que l’utilisation du bitcoin et de ces devises numériques aide en fait parce qu’il existe des moyens de suivre les paiements. Vous avez vu cela avec le DOJ [Department of Justice] récupérant une partie de la rançon Colonial Pipeline.
Que faites-vous des lois sur les rançongiciels que l’administration Biden promeut et que le Congrès envisage actuellement ?
Il semble y avoir un consensus en faveur d’un large mandat de signalement des incidents. Certaines factures obligeraient les victimes à informer très rapidement le gouvernement si elles ont été victimes d’une attaque ou d’une menace par rançongiciel, si vous avez payé une rançon et à qui. Le secteur privé doit savoir que lorsque vous avez une cyberattaque, quelqu’un s’attend à ce que vous la signaliez.
Sommes-nous susceptibles de voir une législation qui interdit de payer la rançon directement ?
Cela ne me choquerait pas de découvrir que c’est dans l’une des factures les moins viables.
Ce n’est pas là que se trouve l’élan ?
La langue que j’ai vue nécessite de vérifier les listes de méchants, puis d’examiner des alternatives au paiement, par exemple en demandant : Pouvez-vous reprendre les activités avec vos sauvegardes ? Pouvez-vous faire autre chose avant le paiement ?
« Si vous allez légiférer, vous devez essayer d’encourager une activité volontaire avec une carotte, pas tant le bâton. »
L’idée est de vous assurer que vous avez effectué votre diligence raisonnable avant le paiement. Honnêtement, je pense qu’une grande partie de cette diligence raisonnable se produit déjà. Aucune entreprise ne veut enfreindre le régime de l’OFAC.
Les exigences de signalement supplémentaires proposées sont-elles raisonnables ?
Ma préoccupation est que les signalements obligatoires soient susceptibles de ralentir la coopération volontaire. Beaucoup d’entreprises appellent déjà DHS [Département de la sécurité intérieure]. Ils appellent le FBI.
Lorsque vous avez une loi qui dit que vous devez le signaler dans les 72 heures, et si vous faites une erreur, le gouvernement va vous clouer, cela change le calcul. Aujourd’hui, vous pouvez être plus libre de dire : « C’est ce que nous avons vu, mais nous ne savons pas exactement ce que nous regardons. »
[Lire également : Comment l’entreprise est confrontée aux rançongiciels]
Vous pouvez partager un peu plus librement que s’il s’agit d’ un rapport écrit et qu’il doit avoir les 25 éléments suivants, et si vous avez quelque chose de mal, l’agence peut revenir et vous condamner.
Si vous étiez responsable de la rédaction des lois, quelles seraient-elles ?
Je ne sais pas si nous avons besoin d’une autre loi. Ou, si vous allez légiférer, vous devez essayer d’encourager une activité volontaire avec une carotte, pas tant le bâton.
Si vous souhaitez que quelqu’un fasse quelque chose, faites en sorte qu’il soit bon marché et sans risque pour lui de le faire, n’est-ce pas ? Offrez-leur des protections de responsabilité, facilitez-les. Il existe déjà CISA, la loi sur le partage des informations sur la cybersécurité de 2015, qui est permissive. Il encourage le partage volontaire et offre tout un tas de bonnes protections pour cette activité. Je ne sais pas pourquoi ils ne cherchent pas à renforcer cela, mais voilà.
