'Fiscus VS behandelt ransomware als aftrekpost'

De IRS (Internal Revenue Service) in de Verenigde Staten staat aftrek van losgeldbetaling toe, volgens diverse belastingexperts die de AP heeft gesproken. Het van de belasting aftrekken van betaling voor digitale afpersing zou zowel wettelijk zijn als ook algemeen geaccepteerd advies. Formeel geeft de IRS geen 'guidance' met betrekking tot ransomwarebetalingen.

Goedkoper?

Sommige belastingjuristen zien de informele advisering, om losgeld als aftrekpost op te voeren, als een klein positief punt bij het grote negatieve gebeuren van ransomware. Het door middel van encryptie gijzelen van computers en data is een trend in cybercrime, die bovendien een domino-effect kan hebben. Klanten, partners en andere betrokken organisaties van ransomwareslachtoffers kunnen immers indirect geraakt worden door digitale afpersing.

Naast bekende IT-problemen als detectie en preventie van ransomware, plus het goed op orde hebben van back-ups én restoreprocedures, speelt er ook het probleem van betaling. Sec zakelijk gezien kan losgeld betalen goedkoper zijn dan het tijdrovende proces van IT-herstel, wat in drastische gevallen een complete wederopbouw van de gecompromitteerde IT-infrastructuur kan omvatten. Dit nog naast eventueel dataverlies als een back-up ook gegijzeld is óf als een back-up relatief oud is.

Volgens Amerikaanse belastingexperts staan bedrijven die losgeld rechtstreeks aan de afpersers betalen in hun recht om dat dan af te trekken van de belasting, schrijft de AP. Dat geld zou dan namelijk een noodzakelijke en normale kostenpost zijn, voor de bedrijfsvoering. Verliezen als gevolg van traditionele misdaad, zoals overvallen of verduistering, zijn allang aftrekbaar.

171% hoger losgeld

Betaling van losgeld voor digitale gijzeling is omstreden, omdat dit het verdienmodel van cybercriminelen steunt. Bovendien financieren slachtoffers daarmee de ontwikkeling van nieuwe, effectieve(re) ransomware die dan weer versterking van IT-security kan doorbreken of omzeilen. De ondergrondse ransomware-industrie is een multimiljardenbusiness, weet AP te melden.

Het gemiddelde betalingsbedrag is in 2020 ten opzichte van 2019 met 171% toegenomen; naar 310.000 dollar, aldus securityleverancier Palo Alto Networks in maart dit jaar. De mogelijkheid om die kosten af te trekken - hoe officieus dan ook - zouden een verkeerde motivering kunnen geven aan getroffen organisaties. Ook organisaties die nog niet geraakt zijn door digitale gijzelnemers zouden hierdoor een relatief lakse houding kunnen prolongeren.