¿Puede impedirse por ley el pago de rescates para hacer frente a los chantajes de los cibermalos ante ataques de ransomware? Carolina del Norte, en EE.UU., ha demostrado que sí.
El estado americano ha incluído como parte de la ley de asignaciones presupuestarias promulgada el 18 noviembre de 2021 esta medida, convirtiéndose en el primer estado de EE.UU. en impulsar una norma similar.
Su nueva ley también recoge que queda prohibido que las entidades públicas se comuniquen con los actores maliciosos tras un ataque de ransomware. Cuando se produzca una amenaza de esta clase, los organismos deberán consultar con el correspondiente Departamento de Tecnología de la Infomación de dicho estado.
La norma se aplicaría a todas las entidades gubernamentales locales, incluidas las ciudades, los condados, las unidades administrativas escolares locales y los community colleges. Todas las agencias estatales, incluidas juntas, comisiones, oficinas, funcionarios y otras entidades de los poderes ejecutivo, legislativo y judicial, así como la Universidad de Carolina del Norte, también están sujetas a las prohibiciones de pago y comunicación.
Otras medidas similares
Aunque Carolina del Norte es pionera en esta medida hay algún precedente reciente. En enero el Senado de Pensilvania prohibía el uso de fondos de los contribuyentes para pagar rescates tras ciberataques, menos cuando el gobernador haya declarado una emergencia por desastre y haya autorizado el abono.
Además, Nueva York está impulsando una legislación que también va en contra de que las agencias públicas y empresas privadas puedan realizar pagos de ransomware.
Los legisladores pretenden que los ciberdelincuentes, al saber que las agencias estatales o locales tienen prohibido por ley asumir un rescate, no tengan ningún incentivo financiero y decidan desistir de atacar estas instituciones.
No obstante, estas medidas también deberían ir en paralelo a que todos estos organismos públicos mejoren su protección, hagan copias de seguridad de sus sistemas de información y contraten seguros para prevenir los costes derivados de posibles daños a sus datos o infraestructura.