Sanctions OFAC appliquées aux paiements de rançon
Cadre réglementaire américain imposant une responsabilité stricte pour tout paiement de rançon bénéficiant à un acteur sanctionné, applicable aux assureurs cyber et à leurs intermédiaires.
L'Office of Foreign Assets Control est l'autorité du Trésor américain chargée de l'administration des sanctions économiques. Son avis du 1er octobre 2020, remplacé par l'avis actualisé du 21 septembre 2021, applique expressément le régime des sanctions à la chaîne de facilitation des paiements de rançon, en visant les institutions financières, les compagnies d'assurance cyber et les sociétés de réponse aux incidents qui interviennent dans l'exécution d'une telle transaction. Le principe directeur est la responsabilité stricte, dit strict liability : toute entité américaine ou toute entité opérant depuis les États-Unis qui effectue ou facilite un paiement au profit d'un acteur figurant sur la liste des entités spécialement désignées (SDN list) ou lié à un pays sous embargo encourt des sanctions civiles même sans avoir su ni pu savoir que le bénéficiaire était désigné ; les poursuites pénales, elles, supposent une violation délibérée. Ce régime crée un risque opérationnel spécifique pour les assureurs cyber, qui peuvent se trouver dans l'obligation de bloquer un paiement en cours de négociation si l'attribution du groupe attaquant révèle un nexus de sanctions potentiel. L'OFAC a par ailleurs commencé à inscrire sur sa SDN list des plateformes d'échange de cryptomonnaies facilitant le blanchiment de rançons, comme SUEX OTC en 2021, élargissant ainsi le périmètre de la conformité bien au-delà du paiement direct. Pour l'assuré, l'existence de ce risque de sanction est un argument supplémentaire pour ne pas payer une rançon, indépendamment de la décision commerciale. À ne pas confondre avec la clause d'exclusion de sanctions : l'avis de l'OFAC dit ce que la loi interdit, la clause dit ce que l'assureur ne paiera pas. Où le mot se lit : dans la clause de limitation et d'exclusion de sanctions de la police, et dans le mandat du négociateur, qui prévoit un criblage avant tout paiement.
Cas d'école : un assureur cyber autorise son assuré à engager un négociateur pour traiter avec un groupe rançongiciel se réclamant du nom DarkSide, celui de l'attaque contre Colonial Pipeline en mai 2021. En cours de processus, les renseignements ouverts suggèrent que des membres du groupe ont des liens avec des entités listées par l'OFAC. L'assureur suspend l'autorisation de paiement et mandate un cabinet juridique spécialisé pour effectuer une analyse de conformité OFAC avant toute reprise des discussions. Cas daté : le 5 décembre 2019, l'OFAC a désigné le groupe Evil Corp et son chef présumé, Maksim Yakubets ; les rançongiciels attribués ensuite au groupe, WastedLocker en 2020, ont posé à chaque victime américaine la question de la licéité du paiement.
- OFAC, Updated Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments, 21 septembre 2021
OFAC, sanctions cyber, strict liability ransomware, advisory OFAC 2021, SDN list ransomware
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.