Les initiatives du Twin DOJ s’attaquent à la fraude en matière de cybersécurité et à l’application de la crypto-monnaie
Points clés
- Le 6 octobre 2021, le DOJ a annoncé deux nouvelles initiatives : la Civil Cyber-Fraud Initiative et la National Cryptocurrency Enforcement Team.
- L’Initiative de lutte contre la cyber-fraude civile luttera contre les cybermenaces croissantes contre les entrepreneurs gouvernementaux et les bénéficiaires de subventions. Cette initiative impliquera l’application de la False Claims Act pour poursuivre la fraude liée à la cybersécurité par des entrepreneurs gouvernementaux et des bénéficiaires de subventions pour pénaliser les entités et les individus qui fournissent sciemment une cybersécurité déficiente, déforment leurs pratiques de cybersécurité ou violent leurs obligations de signaler les incidents et les violations de données.
- La nouvelle équipe nationale d’application des crypto-monnaies poursuivra les poursuites contre les échanges de crypto-monnaie et d’autres entités qui permettent l’utilisation abusive de la crypto-monnaie pour commettre des activités criminelles, telles que le blanchiment d’argent ou la réception de paiements de ransomware. L’équipe aidera également à récupérer la crypto-monnaie perdue à cause de la fraude et de l’extorsion, y compris les paiements à des groupes de ransomware.
Fond
Le 6 octobre 2021, le ministère de la Justice (DOJ) a annoncé des programmes jumeaux axés sur la surveillance de la cybersécurité des sous-traitants et la lutte contre la crypto-monnaie utilisée à des fins illicites. Cette annonce fait partie de l’examen stratégique des cybermenaces du ministère de la Justice et fait suite à une série de cyberincidents très médiatisés et aux efforts fédéraux ultérieurs visant à renforcer la sécurité parmi les agences gouvernementales et les entrepreneurs.
En décembre de l’année dernière, une cyberattaque a exploité une faille dans un produit fabriqué par le fournisseur de logiciels tiers SolarWinds, ce qui a provoqué une brèche dans plusieurs réseaux d’agences fédérales. Des cyberattaques similaires axées sur la chaîne d’approvisionnement se sont produites cette année, notamment l’attaque de mai contre le fournisseur de carburant Colonial Pipeline. Le 12 mai 2021, le président Biden a publié un décret exécutif (EO 14.028) axé sur la refonte de la cybersécurité de la chaîne d’approvisionnement, en particulier pour les entrepreneurs gouvernementaux et les fournisseurs de logiciels (en savoir plus sur l’EO dans notre article précédent ici). L’effort s’appuie sur d’autres initiatives connexes, notamment l’article 889 et la réglementation de la chaîne d’approvisionnement des technologies et services de l’information et des communications (TICS) du Département du commerce. Plus particulièrement, en ce qui concerne l’annonce du 6 octobre, l’OE du 12 mai s’appuie sur près d’une décennie de progrès vers l’établissement de normes de cybersécurité et de signalement d’incidents pour les entrepreneurs fédéraux en vertu du Federal Acquisition Regulation (FAR) et du Defense Federal Acquisition Regulation Supplement (DFARS) , y compris par le biais des efforts récents du ministère de la Défense (DOD) pour établir un modèle de certification de maturité de la cybersécurité (CMMC) et formaliser un cadre d’évaluation et de notation de la cybersécurité. Les entrepreneurs doivent se pencher sur les récentes réglementations mettant en œuvre ces évaluations et cadres, que nous avons décrites dans notre webinaire de l’automne 2020 ici, ainsi que sur les réglementations mettant en œuvre l’article 889 de la loi John S. McCain sur l’autorisation de la défense nationale pour l’exercice 2019 (NDAA 2019), décrite ici. . Vous trouverez de plus amples informations sur le programme CMMC du DOD dans notre précédent article ici. L’Office of Management and Budget (OMB) et la Cybersecurity and Infrastructure Security Agency (CISA) ont suivi l’OE du 12 mai avec un projet de directives pour mettre en œuvre une « politique de cybersécurité Zero-Trust ». Bien que ces directives soient destinées aux agences fédérales, elles ont également des implications pour les entrepreneurs gouvernementaux, en promouvant la cybersécurité avec une architecture de confiance zéro (en savoir plus sur la politique de confiance zéro ici).
En réponse à l’attaque de ransomware Colonial Pipeline et à d’autres attaques de ransomware très médiatisées, le DOJ a également amélioré sa réponse aux cybermenaces. En juin, le DOJ a créé un groupe de travail sur les ransomwares et l’extorsion numérique pour centraliser et améliorer les poursuites contre les groupes de ransomwares. En août, le DOJ a annoncé la création d’un programme Cyber Security Fellows, un programme de trois ans conçu pour former de nouveaux procureurs à gérer les crimes liés aux ransomwares et aux crypto-monnaies. Les nouveaux programmes annoncés le 6 octobre soulignent l’importance de la cybersécurité en tant que préoccupation fédérale et la volonté du ministère de la Justice d’utiliser des outils à la fois criminels et civils pour tenir les mauvais acteurs responsables.
Ce que signifie l’Initiative de cyber-fraude civile pour les entrepreneurs fédéraux et les bénéficiaires de subventions
Selon l’annonce, la Civil Cyber-Fraud Initiative (« l’initiative ») utilisera la False Claims Act (FCA) existante contre les sous-traitants du gouvernement et les bénéficiaires de subventions qui ne parviennent pas à mettre en œuvre des protections de cybersécurité suffisantes. La FCA est un outil civil utilisé depuis longtemps par le gouvernement pour réparer les demandes frauduleuses de fonds fédéraux et comprend des dispositions encourageant les dénonciateurs à identifier d’éventuelles violations de la FCA en leur permettant de participer à tout recouvrement. En ce qui concerne la FCA, l’initiative tiendra les entreprises responsables des éléments suivants :
- Fournir sciemment des produits ou services de cybersécurité déficients.
- Dénaturer sciemment les pratiques de cybersécurité.
- Violer sciemment les obligations de surveiller et de signaler les incidents et les violations de cybersécurité.
Le premier avantage déclaré de l’initiative est de « renforcer une large résilience contre les intrusions de cybersécurité au sein du gouvernement, du secteur public et des principaux partenaires de l’industrie ». D’autres avantages énumérés soulignent également l’importance de promouvoir des politiques de cybersécurité solides par les entrepreneurs gouvernementaux, les cas potentiels de FCA fournissant une motivation.
L’équipe nationale d’application de la crypto-monnaie
La National Cryptocurrency Enforcement Team (NCET) est la tentative du DOJ de cibler l’élément vital de la cybercriminalité en poursuivant des utilisations illégales de crypto-monnaie. L’annonce indique que les membres du NCET proviendront en grande partie de la Section du blanchiment d’argent et du recouvrement d’avoirs (MLARS) du DOJ, de la Section de la criminalité informatique et de la propriété intellectuelle (CCIPS) et des avocats américains adjoints de tout le pays. Ces membres de l’équipe intenteront des poursuites contre des entités qui « permettent l’utilisation abusive de la crypto-monnaie et des produits connexes pour commettre ou faciliter des activités criminelles ». Selon l’annonce, le NCET assumera également un rôle de soutien aux autorités fédérales, étatiques, locales et internationales chargées de l’application des lois qui luttent contre la criminalité liée aux crypto-monnaies.
L’annonce répertorie les principales cibles du NCET comme : les échanges de crypto-monnaie, les services de mixage et de tumbling (qui mélangent des fonds de crypto-monnaie identifiables avec d’autres pour empêcher le traçage) et les fournisseurs d’infrastructures de blanchiment d’argent. Le NCET enquêtera et poursuivra l’utilisation frauduleuse de la crypto-monnaie, le blanchiment illégal et d’autres utilisations illégales de la crypto-monnaie par ces entités et d’autres.
Plats à emporter
Ces deux initiatives indiquent que la cybersécurité reste une priorité fédérale de premier plan et qu’elle devrait gagner en importance dans les années à venir. Le DOJ utilise ses pouvoirs d’exécution pour inciter les entreprises, à la fois les entrepreneurs gouvernementaux et les échanges de crypto-monnaie, à arrêter les activités illégales avant qu’elles ne se produisent. Cela suggère que le ministère de la Justice étend son champ d’action de la poursuite des mauvais acteurs individuels à l’engagement d’actions civiles et pénales contre les gardiens et les facilitateurs de la cybercriminalité. Dans l’espace des crypto-monnaies, cela signifie que les opérateurs d’échanges seront probablement soumis à un examen minutieux de la part du DOJ, car le DOJ continue de cibler l’utilisation abusive de la crypto-monnaie pour faciliter les comportements criminels.
De plus, les entités privées travaillant avec les systèmes d’information gouvernementaux sont désormais considérées comme faisant partie de l’appareil de cyberdéfense. Les affaires pénales et civiles dans ce domaine sont susceptibles d’augmenter, et les entreprises, en particulier les entrepreneurs fédéraux, seraient bien avisées de revoir leurs politiques de cybersécurité et de lutte contre le blanchiment d’argent. Des pratiques de cybersécurité à jour, des politiques complètes de signalement des incidents et de solides pratiques de surveillance sont des éléments essentiels dans la conduite des affaires avec le gouvernement.