Адвокат Игорь Баранов: во время ransomware-атаки компаниям нужно одновременно учитывать технические и юридические риски

Игорь Баранов, адвокат, управляющий партнер Московской коллегии адвокатов «BRAVIS», прокомментировал для CISOCLUB превращение переговоров с кибервымогателями в отдельный элемент ransomware-атак. По его словам, современное вымогательство сочетает техническое воздействие на инфраструктуру, кражу данных и психологическое давление, поэтому реагирование на такие инциденты не может оставаться исключительно задачей ИТ- и ИБ-подразделений.

«Ransomware давно перестал быть исключительно технической проблемой. Сегодня это полноценная преступная бизнес-модель, в которой техническая атака, кража информации, психологическое давление и переговоры с жертвой являются элементами единого процесса», — отметил Игорь Баранов.

Особенно серьезные последствия возникают в случаях, когда злоумышленники получают персональные данные. Тогда компании необходимо установить масштаб компрометации и определить дальнейшие юридические действия.

«Особенно сложная ситуация возникает, если злоумышленники получили доступ к персональным данным сотрудников, клиентов или контрагентов. Тогда перед компанией стоит уже не только задача восстановить инфраструктуру, но и оценить, какие сведения были скомпрометированы, кому они принадлежат, возникли ли предусмотренные законом обязанности по уведомлению и какие последствия может повлечь утечка», — рассказал Игорь Баранов.

Отдельно эксперт остановился на переговорах с преступниками. По его мнению, решение о контакте с вымогателями и возможной выплате требует предварительной оценки целого комплекса обстоятельств, а рассматривать такие переговоры как обычный коммерческий торг некорректно.

«Любое решение о контакте и тем более о возможной выплате должно приниматься после оценки юридических и финансовых рисков. Необходимо понимать, кому именно предполагается передача денежных средств, каким образом оформляется решение, какие гарантии может получить компания и, главное, не создаст ли сама выплата дополнительные правовые риски», — подчеркнул адвокат.

При этом даже выполнение требований преступников не гарантирует окончательного решения проблемы. Полученный ключ расшифровки или обещание удалить украденные сведения не позволяют компании достоверно убедиться, что злоумышленники действительно уничтожили все копии.

«При этом полагаться на обещание преступников удалить похищенную информацию также нельзя. Даже если компания получает ключ для расшифровки или подтверждение удаления файлов, юридически гарантировать, что данные действительно уничтожены и не появятся вновь, практически невозможно», — отметил Игорь Баранов.

Поэтому подготовку к подобным инцидентам необходимо проводить заранее. В компании должны быть определены зоны ответственности и порядок взаимодействия между различными подразделениями еще до возникновения атаки.

«Поэтому я полностью поддерживаю тезис о необходимости готовить план реагирования до атаки, а не после ее начала», — заявил эксперт.

Такой план, по словам Игоря Баранова, должен охватывать не только восстановление инфраструктуры, но и работу с внешними участниками инцидента. В частности, заранее стоит определить порядок взаимодействия с правоохранительными органами, страховщиками и контрагентами, а также процедуру информирования сотрудников и клиентов.

«В таком плане должны быть заранее определены полномочия руководителей и сотрудников, порядок взаимодействия IT, службы безопасности и юристов, алгоритм фиксации цифровых следов, взаимодействия с правоохранительными органами, страховой компанией и контрагентами, а также порядок информирования работников и клиентов в случае утечки», — рассказал Игорь Баранов.

Отдельное внимание эксперт рекомендует уделять сохранению цифровых доказательств после атаки. Эти материалы могут потребоваться не только для расследования произошедшего, но и для защиты интересов самой компании в последующих разбирательствах.

«Логи, переписка, сведения о проникновении в инфраструктуру, образцы вредоносного программного обеспечения и другие цифровые следы впоследствии могут иметь значение как для расследования преступления, так и для защиты самой компании в спорах с клиентами, контрагентами или государственными органами», — пояснил адвокат.

В перспективе развитие ИИ способно дополнительно снизить затраты преступников на проведение атак. Автоматизация коммуникации с жертвами позволит вымогателям одновременно обрабатывать больше потенциальных целей и персонализировать давление без пропорционального увеличения числа участников группировки.

«Развитие ИИ действительно способно сделать эту угрозу еще более масштабной. Если сегодня человеческие переговорщики позволяют преступным группировкам персонализировать давление на крупную компанию, то в будущем значительная часть коммуникации с жертвой может быть автоматизирована. Это снизит стоимость атаки и позволит преступникам одновременно работать с гораздо большим количеством компаний», — считает Игорь Баранов.

По мнению эксперта, поэтому ransomware следует рассматривать как постоянный операционный риск, к которому компания должна быть подготовлена организационно и юридически. Наличие заранее распределенных ролей позволяет быстрее принимать решения в условиях атаки, когда промедление может напрямую увеличивать ущерб.

«Компании, которые заранее определили, кто принимает решения, кто ведет переговоры, кто отвечает за правовую оценку и кто взаимодействует с правоохранительными органами, получают главное преимущество во время атаки — время. А в ситуации с вымогателями именно время зачастую определяет, насколько серьезными будут последствия», — заключил Игорь Баранов.