A brit kormány úgy döntött, leszámol a zsarolókkal. Miután az elmúlt időszakban súlyos kibertámadások értek brit vállalatokat, a kormány meg akarja tiltani a kritikus nemzeti infrastruktúra üzemeltetőinek, hogy váltságdíjat fizessenek a zsarolóknak. Az utolsó csepp a pohárban a Jaguar Land Rover elleni ransomware-támadás lehetett, amit az autógyártó csak állami hitellel tudott átvészelni.

A javaslatot kidolgozó belügyminisztérium szerint elrettenti a kiberbűnözőket, ha egyértelmű, hogy a megtámadott szervezetek nem fizethetnek. Ilyen merev szabályt a világban sehol sem alkalmaznak. A legtöbb országban csak ajánlást adnak ki, hogy senki se fizessen, mert azzal a kiberbűnözőket és az újabb támadásokat támogatja. Esetleg más jogcímen (pl. a terrorszervezetek finanszírozásának tilalma) vennék elő a fizető szervezeteket. Az amerikai pénzügyminisztérium 2020-ban jogi lépések helyezett kilátásba a váltságdíjat fizetőkkel szemben, ám egy évvel később, amikor elesett az USA egyik legfontosabb olajvezeték-hálózata, a Colonial Pipeline, már a hatóságok is szemérmesen hallgattak, hogy fizettek-e.

A londoni kormány szerint azonban minden eszközzel javítani kell az ország vállalkozásainak az ellenálló képességét, mert az ellátási láncokon és az alapvető szolgáltatásokon keresztül az egész gazdaságon végigsöpörhet egy komolyabb támadás.

Szakértők: ez katasztrófához vezethet

Az elmélet jó, legalábbis jól hangzik, de a gyakorlat más, vélik a szakértők. Ha a váltságdíjfizetést teljes mértékben illegálisnak minősítik, akkor a megtámadott vállalatok a legértékesebb eszközüket veszítik el, amikor tárgyalásos úton próbálják visszaszerezni érzékeny adataikat, és akarják helyreállítani az alapvető szolgáltatásokat. Azaz egy talán megoldható helyzet katasztrófába torkollhat.

Ha egy kritikus infrastruktúrát üzemeltető cégnél a működéséhez szükséges összes biztonsági mentési rendszer meghibásodik, a cégvezetés két rossz közül választhat: vagy megszegi a törvényt, vagy végignézik, ahogy az alapvető szolgáltatások összeomlanak, ecsetelte a helyzetet egy jogász a Financial Timesnak.

Bár a kiberbiztonsági szakértőknek az az alapállása, hogy nem szabad fizetni, a brit kormány merev szabályaiért mégsem lelkesednek egyöntetűen. A bűnözőket ugyanis nem érdekli, mi legális és mi nem, ha elég nagy az elérhető haszon, próbálkoznak. És ha nem kapnak váltságdíjat, akkor fokozzák a támadások intenzitását, és ha nem kapnak váltságdíjat, a megszerzett adatok eladásából próbálnak bevételhez jutni. Nem véletlen, hogy 2024-ben a vállalatok 49 százaléka fizetett, hogy visszaszerezze az adatait (a Sophos 2025-ös State of Ransomware-jelentése szerint), ahogy az sem, hogy a fizetők aránya nem sokat változott az elmúlt négy-öt évben.

Mit mondanak az érintettek?

A javaslat megszövegezését megelőzte egy nyilvános konzultáció: a belügy több mint 270 észrevételt kapott, ezek közel háromnegyede támogatta a teljes tilalom bevezetését, amely csak a kritikus nemzeti infrastruktúrának minősülő ágazatra vonatkozna (repterek, távközlési cégek, bankok, közműcégek stb.).

De nem mindenki ilyen lelkes. Egyes cégek már azt mérlegelik, hogy elköltöztetik az Egyesült Királyságban működő részlegeiket, illetve keresik, hogyan kerülhetnék meg a szabályozást.

Mások nem látják ennyire súlyosnak a helyzetet mondván, fontos lenne valahogy csökkenteni annak a lehetőségét, hogy a támadók pénzhez jussanak. A brit kormány jó irányban keresgéli a megoldást, de egy ilyen előírás csak akkor lehet hatékony, ha olyan szélesebb körű intézkedéscsomag részeként alkalmazzák, amely egyúttal erősíti a szervezetek ellenálló képességét. Ám még a javaslatot támogató szakértők is figyelmeztetnek: biztosítani kell, hogy a szabály ne sújtsa a vétlen áldozatokat.