Reino Unido propõe proibição de pagamento de ransomware para o setor público • st

Uma proibição total de pagamentos de ransomware em todo o setor público poderá realmente acontecer depois de o governo do Reino Unido abrir uma consulta sobre como combater a tendência de os criminosos bloquearem sistemas inteiros e os contribuintes pagarem a conta.

A consulta irá considerar opiniões sobre o alargamento da proibição de pagamento de resgates dos departamentos do governo central a todos os serviços públicos, incluindo hospitais, escolas, autoridades locais e redes de transportes estatais.

Anunciada hoje, a consulta de 12 semanas decorrerá de 14 de janeiro a 8 de abril e explorará três propostas, a primeira das quais é a proibição total de pagamentos para o setor público e organizações de infraestrutura nacional crítica (CNI).

A noção geral é tornar a perspectiva de atingir estes sectores indesejável para criminosos com motivação financeira. Também envolveria a notificação obrigatória de incidentes para apoiar as agências de aplicação da lei e de inteligência.

Em segundo lugar, “um regime de prevenção de pagamentos de ransomware”, como o Ministério do Interior o chama, levaria a primeira proposta ainda mais longe. Esta ideia pressupõe que uma proibição de pagamentos ao sector público seria implementada e, posteriormente, exige que quaisquer organizações e empresas não abrangidas por uma proibição existente procurem a aprovação do governo antes de pagarem o resgate. Seria uma espécie de “licença” de pagamento de ransomware, que pode ou não ser emitida dependendo da natureza do incidente.

Uma abordagem pan-industrial também veria as forças de combate ao crime do país capacitadas com dados adicionais para informar as investigações e operações em curso, embora a consulta também considere se as regras só se aplicariam a ataques que atingissem um determinado limiar.

A terceira e muito mais fraca abordagem propõe a implementação de uma lei de notificação obrigatória para incidentes de ransomware. (Portanto, não há proibição.) Isto forneceria aos combatentes do crime cibernético do Reino Unido o máximo de dados possível para melhor informar as suas investigações (e potencialmente os seus esforços de interrupção à la LockBit), mas certamente não é tão poderoso quanto as outras ideias no mesa.

Tal como a segunda proposta, a consulta irá considerar se a regra será aplicável a todas as organizações e indivíduos ou se será baseada num ataque que atinja um limite específico.

“Reduzir o crime cibernético é fundamental para as missões deste governo de reduzir o crime, gerar crescimento e manter o povo britânico seguro”, disse o ministro da segurança, Dan Jarvis, num comunicado.

“Com cerca de mil milhões de dólares a fluir para criminosos de ransomware em todo o mundo em 2023, é vital agirmos para proteger a segurança nacional como uma base fundamental sobre a qual o Plano de Mudança deste Governo é construído.

“Estas propostas ajudam-nos a enfrentar a escala da ameaça do ransomware, atingindo estas redes criminosas nas suas carteiras e cortando o principal canal financeiro de que dependem para operar.

“Hoje marca o início de um passo vital para proteger a economia do Reino Unido e manter as empresas e os empregos seguros.”

Como parte da sua primeira Lei de Segurança Cibernética, a Austrália introduziu regras obrigatórias de comunicação de incidentes em novembro de 2024, exigindo que as organizações reportem ataques de ransomware, desde que cumpram o limite de receitas. Este valor foi fixado em AU$ 3 milhões (US$ 1,845 milhão), o que captura aproximadamente 6,56% das empresas australianas, de acordo com o Centro de Segurança Cibernética e de Infraestrutura do país.

Dados os estreitos laços políticos e económicos do Reino Unido com a Austrália, um limiar ou percentagem semelhante de organizações britânicas pode ser considerado se a regra for espelhada.

Nenhuma grande economia tomou medidas no sentido de proibir o pagamento de resgates numa escala tão grande como a descrita em algumas das propostas do Reino Unido hoje. Seria um momento monumental para a política cibernética, caso fossem aprovadas e implementadas.

O NCSC do Reino Unido também pare