Alors que les autorités n'ont de cesse de répéter qu'il ne faut pas payer de rançons, Associated Press a découvert que les victimes de ransomware peuvent les déduire de leurs impôts. 

Plusieurs experts fiscaux américains interrogés par AP expliquent en effet que les déductions « sont généralement autorisées en vertu de la loi », dès lors qu'elles sont « considérées comme ordinaires et nécessaires » au bon fonctionnement de l'entreprise.

C'est d'ailleurs ce pourquoi elles sont aussi, et depuis longtemps, en mesure de déduire les pertes relevant de délits plus traditionnels, tels que le vol ou le détournement de fonds.

« Plus nous faisons payer ces rançons à moindre coût, plus nous incitons les entreprises à payer,[...] et plus nous incitons les criminels à continuer », déplore Josephine Wolff, professeur de politique de cybersécurité à la Fletcher School of Tufts University.

Il y aurait des limites à la déduction, relève AP : « si la perte subie par l'entreprise est couverte par une cyber-assurance, ce qui est également de plus en plus courant, l'entreprise ne peut pas déduire le paiement effectué par l'assureur ».

« L'IRS est conscient de cela et examine la situation », a déclaré la porte-parole du fisc américain, Robyn Walker. 

AP relève, a contrario, qu'une loi britannique de 2015 interdit aux compagnies d'assurance basées au Royaume-Uni de rembourser les entreprises pour le paiement de rançons liées au terrorisme, « un modèle qui, selon certains, devrait être appliqué universellement aux paiements de rançongiciels ».

Alors qu'aux États-Unis, environ 60 % des victimes de ransomware préfèrent payer la rançon que de risquer de perdre du temps et de l'argent, le temps de désinfecter leurs systèmes d'information et d'y réinstaller leurs données – quand elles le peuvent. 80 % de celles qui paient subissent une seconde attaque de ransomware.

De plus, souligne AP, payer ne garantit pas le fait de complètement récupérer ses données : « en moyenne, les payeurs de rançon n'ont récupéré que 65 % des données chiffrées, laissant plus d'un tiers inaccessibles, tandis que 29 % ont déclaré n'avoir récupéré que la moitié des données », a constaté la société de cybersécurité Sophos dans une enquête menée auprès de 5 400 décideurs informatiques de 30 pays.