Bedrijven of vitale organisaties in Australië die vanaf vandaag slachtoffer worden van ransomware en losgeld aan de criminelen betalen moeten dit voortaan binnen 72 uur aan de Australische overheid rapporteren (pdf). Australië is daarmee het eerste land dat een meldplicht voor losgeld bij ransomware introduceert. De meldplicht geldt niet voor alle organisaties.

"Mandatory ransomware and cyber extortion payment reporting" geldt alleen voor bedrijven die in Australië actief zijn en een omzet van drie miljoen Australische dollars of meer hebben of verantwoordelijk zijn voor vitale infrastructuur. Ook wanneer derde partijen voor deze organisaties betalingen doen moet dit worden gemeld. In het geval er losgeld wordt betaald moeten organisaties dit binnen 72 uur melden. Daarbij moet ook allerlei informatie over het incident en de betaling worden verstrekt. De Australische overheid heeft ook een document gepubliceerd met uitleg in welke situaties de meldplicht van toepassing is (pdf).

Volgens de Australische autoriteiten zouden organisaties het betalen van losgeld zelden melden, waardoor er geen volledig beeld van de problematiek is. Uit onderzoek van het Australian Institute of Criminology zou slechts één van de vijf slachtoffers van een ransomware-aanval dit rapporteren. Hierdoor heeft de Australische overheid naar eigen zeggen geen beeld van de economische en sociale impact van ransomware in het land.

"Naar schatting betaalden Australische bedrijven die door ransomware werden getroffen vorig jaar 9,27 miljoen dollar losgeld. Dit probleem moet worden aangepakt. Verplichte rapportage van ransomware-betalingen zal ons inzicht geven in hoeveel bedrijven via ransomware-aanvallen worden afgeperst, aan wie deze betalingen worden gedaan en hoe", aldus Tony Burke, de Australische minister voor cybersecurity, eind vorig jaar.