米国、企業はランサムウエアのペイオフで罰せられるとOFACが勧告

ランサムウエアのペイオフで罰せられる！

OFAC(Office of Foreign Asset Control=アメリカ財務省外国資産管理局)が、米国の制裁下にあるグループへのランサムウエアの支払いを促進する人は、誰であっても民事罰に直面する可能性があると10月2日に勧告しました。

OFACは2日、ランサムウエアの支払いを促進する企業が、米国からの追加の罰金のリスクにさらされるという勧告を発表しました。
これは、IEEPA(International Emergency Economic Powers Act=国際緊急経済権限法)およびTWEA(Trading with the Enemy Act=米国対敵取引法)に基づき、アメリカ国民が禁輸国またはOFACの特別指定国民およびブロックされた人物リストに載っている人々と取引することを禁じられているためです。
これら対象国および人物などとの取引を禁止している背景には、ランサムウエア攻撃を実行する可能性がある理由からです。

ランサムウエア攻撃が拡大するにしたがって、支払いを容易にしてすべてをなくすための企業が出現し始めています。
特に、金融機関やサイバー保険会社、デジタルフォレンジックとインシデント対応に関与する企業に言及し、将来のランサムウエアの支払い要求を奨励することでそれほど好循環を生み出さないと主張しています。

ランサムウエアは、コンピューターシステムを乗っ取ってアクセスできないようにするように設計されたマルウエアですが、所有者がロックを解除するために、通常は仮想通貨で提示価格を支払わない限りです。
FBI(Federal Bureau of Investigation= アメリカ連邦捜査局)は昨年、報告された症例が37%も増加したことを発見したものの、コロナパンデミックの影響により、事態は減速していない状況が続いています。
コロナパンデミックの発生時、地域の病院から世界保健機関までのすべての人が攻撃に見舞われ、仮想通貨で支払うよう要求されていました。

最近注目を集めている攻撃をみてみると、OFACの警告は驚くことではなく、GPS会社Garmin (ガーミン)のネットワークは今年7月にダウンしています。
1週間後、同社はハッキンググループが1,000万ドルを要求したことを確認しており、犯人の可能性が高いとみられているのがロシアに代わって米国企業をハッキングしたとして財務省が昨年12月に認可したEvilCorpと名乗るロシアのハッキンググループでした。

Garminは身代金を支払ったことを確認していないものの、同社が米国外の当事者と契約したとしても、そのような支払いは違法であった可能性があると指摘されています。

アメリカ政府の懸念材料とは

アメリカ政府が特に懸念しているのは、ランサムウエアを支払うことで、悪意のある攻撃者として指定されたグループ(※北朝鮮のEvilCorpからLazarusGroupまで)が、制裁の目的全体が必要な現金をグループまたは政府から奪うことである場合、お金を稼ぐことができるという点です。

勧告の中で制裁対象者または制裁対象の管轄区域に対して行われたランサムウエアの支払いは、アメリカの国家安全保障および外交政策の目的に反する活動に資金を提供するために使用される可能性があると記されています。
文書が明らかにしているように、OFACは民事罰を課すかもしれず、厳格責任に基づく制裁違反の場合、つまり、アメリカの管轄下にある人が関与していることを知らなかった、または知る理由がなかったとしても、民事責任を問われる可能性があると記載されています。

ただし、これらはランサムウエアの支払いができないという意味ではなく、OFACの施行ガイドラインは、ランサムウエアの支払いを促進する企業に、制裁関連の違反へのエクスポージャーを軽減するためのリスクベースのコンプライアンスプログラムを実装することを求めています。
そのため企業は、FinCEN(Financial Crimes Enforcement Network=金融犯罪捜査網)の下での規制義務も考慮する必要があるとOFACは述べています。