Cadre réglementaire américain imposant une responsabilité stricte pour tout paiement de rançon bénéficiant à un acteur sanctionné, applicable aux assureurs cyber et à leurs intermédiaires.
L'Office of Foreign Assets Control est l'autorité du Trésor américain chargée de l'administration des sanctions économiques. Son Advisory du 21 septembre 2021 a explicitement étendu le régime des sanctions à la chaîne de facilitation des paiements de rançon, visant les institutions financières, les compagnies d'assurance cyber et les sociétés de réponse aux incidents qui interviennent dans l'exécution d'une telle transaction. Le principe directeur est la responsabilité stricte, dit strict liability : toute entité américaine ou toute entité opérant depuis les États-Unis qui effectue ou facilite un paiement au profit d'un acteur figurant sur la liste des entités spécialement désignées (SDN list) ou lié à un pays sous embargo engage sa responsabilité civile et pénale, indépendamment de toute intention frauduleuse. Ce régime crée un risque opérationnel spécifique pour les assureurs cyber, qui peuvent se trouver dans l'obligation de bloquer un paiement en cours de négociation si l'attribution du groupe attaquant révèle un nexus de sanctions potentiel. L'OFAC a par ailleurs commencé à inscrire sur sa SDN list des plateformes d'échange de cryptomonnaies facilitant le blanchiment de rançons, comme SUEX OTC en 2021, élargissant ainsi le périmètre de la conformité bien au-delà du paiement direct. Pour l'assuré, l'existence de ce risque de sanction est un argument supplémentaire pour ne pas payer une rançon, indépendamment de la décision commerciale.
Un assureur cyber autorise son assuré à engager un négociateur pour traiter avec un groupe rançongiciel se réclamant du nom DarkSide. En cours de processus, les renseignements ouverts suggèrent que des membres du groupe ont des liens avec des entités listées par l'OFAC. L'assureur suspend l'autorisation de paiement et mandate un cabinet juridique spécialisé pour effectuer une analyse de conformité OFAC avant toute reprise des discussions.
OFAC, sanctions cyber, strict liability ransomware, advisory OFAC 2021, SDN list ransomware