根據美國參議院委員會的一份新報告，美國政府缺乏關於勒索軟件攻擊的全面數據，而且現有的報告比較分散。美國國土安全部和公共事務委員會近日發布了一份51 頁的報告，呼籲政府迅速實施新的授權，要求聯邦機構和關鍵基礎設施組織在遭遇勒索軟件之後必須上報，以及需要支付的贖金。

為了撰寫這份報告，委員會進行了為期10 個月的調查，並重點關注加密貨幣在勒索軟件支付中的作用。結果發現有關攻擊的報告是“零散且不完整”的，部分原因是FBI 和CISA 都聲稱擁有“一站式服務” 報告攻擊的網站——分別是IC3.gov 和StopRansomware.gov。

新法律要求關鍵基礎設施組織在72 小時內向CISA 報告網絡攻擊，並在24 小時內向CISA 報告勒索軟件的贖金。CISA 在3 月份表示將立即與FBI 分享事件報告，但調查發現這種安排存在缺陷。

報告指出：“雖然這些機構聲明他們彼此共享數據，但在與委員會工作人員的討論中，勒索軟件事件響應公司質疑此類通信渠道對協助攻擊受害者的影響的有效性”。

除了FBI 和CISA 的雙重報告職能之外，財政部的FinCEN、運輸安全管理局和證券交易委員會還有針對特定部門的報告製度，以及通過FBI 外地辦事處和一些州政府的報告。報告指出：“這些機構沒有統一捕獲、分類或公開共享信息。”

它指出，專家認為FBI 關於勒索軟件的IC3 數據是數據的“子集”。FBI 在其年度IC3 報告中承認其勒索軟件數據“人為地低”，因為受害者只是自願向FBI 報告事件。與此同時，收集勒索軟件受害者報告的FBI 外地辦事處在後續調查期間與約25% 的受害者失去了聯繫。