La ley de divulgación de rescates daría a las empresas 48 horas para divulgar los pagos.

Las organizaciones que descubren que sus redes han sido afectadas por un ataque de ransomware pronto tendrán que revelar todos los pagos a sus extorsionistas en un plazo de 48 horas.

Esa es la intención de la Ley de Divulgación de Rescate, un nuevo proyecto de ley de la senadora estadounidense Elizabeth Warren y la diputada Deborah Ross.

Actualmente, las víctimas de ransomware no están obligadas a informar sobre ataques o pagos de rescate a las agencias federales, pero la nueva ley exige que todas las víctimas de ransomware (excepto las personas) revelen la siguiente información dentro de las 48 horas posteriores al pago de un rescate:

• La fecha en que se solicitó el rescate.
• La fecha en que se pagó el rescate.
• La cantidad de rescate exigida.
• El monto del rescate pagado.
• La moneda utilizada para el pago (incluido el tipo de criptomoneda, si se utilizó la criptomoneda).
• Si la organización que pagó el rescate recibirá fondos federales.
• Cualquier información conocida sobre la identidad del chantajista.

Según Warren, la legislación ayudará a recopilar datos sobre ataques de ransomware y cuánto dinero están ganando los ciberdelincuentes con los ataques de ransomware contra empresas, agencias gubernamentales y hospitales:

Las víctimas de ransomware corporativo estarían obligadas por ley a informar sobre sus pagos de rescate al Departamento de Seguridad Nacional, que publicaría anualmente el monto total en dólares de los pagos de rescate en un sitio web público.

La información sobre la identidad de los extorsionistas no se publicaría para no interrumpir la investigación en curso contra las bandas de ransomware.

Para que la Ley de Divulgación de Rescate entre en vigencia, debe ser aprobada por la Cámara de Representantes de los Estados Unidos y el Senado de los Estados Unidos antes de que finalmente sea firmada por el presidente Joe Biden.

La noticia de la Ley de divulgación de rescate llega pocas semanas después de que al menos una banda de ransomware, el grupo Ragnar Locker, advirtiera a las víctimas que no cooperen con las fuerzas del orden público después de un ataque o se arriesguen a que sus datos comprometidos se divulguen de inmediato.

Una vez más, vemos una clara indicación de que el ciberdelito, y especialmente los ataques de ransomware, se ha convertido en un tema candente para políticos y legisladores. Esta misma semana, el Departamento de Justicia de EE. UU. Anunció que los contratistas del gobierno podrían ser llevados ante la justicia si no informan de una violación de seguridad o no cumplen con los estándares de ciberseguridad requeridos.

Nota del editor: Las opiniones expresadas en este artículo de autor invitado pertenecen únicamente al colaborador y no reflejan necesariamente las de Tripwire, Inc.