Advies betalen ransomware door NCSC en ICO neergesabeld

In een brief van het Britse National Cyber Security Centre (NCSC) en het Information Commissioner’s Office (ICO) worden Britse juristen opgeroepen cliënten niet langer te adviseren om ransomware losgeld te betalen.

De adressant van de brief, de Law Society, wordt gevraagd haar leden eraan te herinneren dat zij hun cliënten niet mogen adviseren om losgeld te betalen wanneer zij het slachtoffer worden van een cyberaanval.

Er staat verder in dat het betalen van losgeld het risico van toekomstige aanvallen op personen niet vermindert. Garantie voor de ontsleuteling of teruggave van gestolen gegevens bestaat niet. Tenslotte is er nog de ondubbelzinnige waarschuwing dat het betalen van losgeld niet zal leiden tot lagere boetes bij handhaving door de toezichthouder ICO.

Bijzonder is trouwens dat NCSC en ICO het schijnbaar nodig vinden via de Law Society er op te wijzen dat elk ransomware-incident gemeld moet worden aan de ICO.

Nederland heeft ook een NCSC en ICO heet hier AP. Verschillende namen en instanties, maar dat wil niet zeggen dat zij deze oproep wel zullen begrijpen. Ook al geldt er in Nederland nog geen wettelijk verbod op het betalen van ransomware. Een deel van het schrijven is absoluut van toepassing op de situatie aan deze kant van de Noordzee: ransomware en persoonsgegevens = verplicht melden bij het AP.