ما الذي حدث: المفاوض الذي عمل لكلا الجانبين
عندما تتعرض شركة لهجوم فدية، فإن أولى المكالمات التي تجريها تكون إلى مفاوض: متخصص موثوق به يجلس بين الضحية المذعورة وعصابة إجرامية، ويعمل على تقليل مبلغ الفدية أو كسب وقت للاستعادة. تعتمد تلك العلاقة كليًا على الثقة. وفقًا لتقرير من Malwarebytes، قام أحد هؤلاء المفاوضين بكسر تلك الثقة بأبشع صورة ممكنة. فبدلاً من مساعدة الضحايا على التصدي لعصابة فدية BlackCat، قام سرًا بتزويد المجرمين بمعلومات من داخل المفاوضات التي كان يُفترض أن يديرها نيابة عن الضحايا.
كانت النتيجة سيناريو تهديد من داخل عملية التفاوض كلّف الضحايا الملايين. بدلاً من أن يكون المفاوض جدار حماية بين الشركة ومهاجمها، أصبح فعليًا مهاجمًا ثانيًا، يمتلك وصولاً متميزًا إلى الحدود المالية للضحية واستراتيجيتها القانونية ومدى استعدادها للدفع. وهذا بأسوأ ما يمكن أن يصل إليه فشل الاستجابة للحوادث، لأنه يحول نقطة الحماية التي تدفع المؤسسات المال مقابلها إلى نقطة ضعف.
كيف تقوم عصابات الفدية كخدمة بتجنيد وسطاء موثوقين
تعمل BlackCat، المعروفة أيضًا باسم ALPHV، كمجموعة فدية كخدمة (RaaS)، مما يعني أنها ترخص برمجياتها الخبيثة وبنيتها التحتية لشركاء ينفذون الهجمات ويتقاسمون الأرباح. لطالما اعتمد نموذج العمل هذا على بناء شبكات من الأشخاص المستعدين للتعاون مقابل جزء من العائدات، بدءًا من وسطاء الوصول الأولي الذين يبيعون بيانات الدخول المسروقة إلى الشركاء الذين ينشرون حمولة التشفير الفعلية. المفاوض المخترق أو المتواطئ هو ببساطة الامتداد المنطقي التالي لتلك الشبكة: شخص منغمس في النظام البيئي الشرعي للاستجابة للحوادث يمكنه مشاركة معلومات استخباراتية لا يمكن للعصابة الحصول عليها بنفسها أبدًا.
لهذا السبب بالتحديد تتجاوز أهمية الحالة BlackCat نفسها. تدرك عصابات الفدية بشكل متزايد أن الحلقة الأضعف في الاستجابة للاختراق ليست دائمًا جدار حماية أو خادمًا غير مُحدّث، بل يمكن أن يكون شخصًا، وتحديدًا شخص اختارت الضحية أن تثق به خلال أكثر لحظات الحادث الأمني إرهاقًا. يظهر نفس مبدأ استغلال الثقة والوصول عبر مشهد الفدية وابتزاز البيانات، بما في ذلك حوادث مثل اختراق ShinyHunters لأنظمة الموارد البشرية لمجلس أوروبا، حيث أظهر المهاجمون مرة أخرى مدى فعالية المجموعات الإجرامية في استغلال الوصول الداخلي بمجرد أن يجدوا طريقهم إليه.
لماذا يوسع هذا سطح الهجوم لضحايا الاختراق
تفكر معظم المؤسسات في مخاطر الفدية من منظور شبكتها الخاصة: نقاط النهاية، الخوادم، النسخ الاحتياطية، تدريب الموظفين. لكن القليل منها يفكر في المخاطر التي يسببها البائعون والاستشاريون الذين تستعين بهم بعد أن يبدأ الهجوم بالفعل. لكن المفاوض، مثل المحقق الجنائي الرقمي أو مستشار الاختراق، غالبًا ما يكون لديه وصول إلى بعض أكثر المعلومات حساسية التي تمتلكها الشركة أثناء الأزمة: مبلغ الفدية الذي تكون الضحية مستعدة لدفعه، البيانات التي سُرقت بالفعل، ومدى يأس المؤسسة لتجنب الكشف العلني.
عندما يُساء استخدام هذا الوصول، يتضاعف الضرر. فالضحايا لا يفقدون المال بسبب الفدية نفسها فحسب، بل يفقدون أي قدرة تفاوضية كانت لديهم، لأن العصابة تعرف بالفعل الحد الأدنى لهم قبل أن تبدأ المحادثات حتى. تُذكرنا هذه الحالة بأن سلسلة توريد الاستجابة للحوادث تستحق نفس التدقيق الذي تحظى به أي علاقة مع بائع آخر، وبأن الثقة في أوقات الأزمات يجب ألا تُفترض أبدًا لمجرد أن شخصًا ما يحمل المسمى الوظيفي المناسب.
كيفية فحص مستجيبي الحوادث والمفاوضين قبل وقوع الأزمة
أفضل وقت لفحص مفاوض فدية أو شركة استجابة للحوادث هو قبل وقوع الهجوم، وليس أثناءه، عندما يجعل ضغط الوقت العناية الواجبة الدقيقة شبه مستحيلة. يمكن للمؤسسات اتخاذ عدة خطوات ملموسة:
- تأكيد سجل الشركة وطلب مراجع من عملاء سابقين تعرضوا لحوادث مماثلة.
- السؤال عن كيفية فحص الشركة لموظفيها، بما في ذلك فحوصات الخلفية والضوابط الداخلية على من يمكنه الوصول إلى تفاصيل المفاوضات.
- الإصرار على سجلات تواصل موثقة وقابلة للتدقيق خلال أي مفاوضات، بدلاً من الاعتماد فقط على نقطة اتصال واحدة.
- إشراك مستشار قانوني خارجي أو مستشار أمني ثانٍ للتحقق بشكل مستقل من القرارات الكبرى، مثل مبالغ الفدية أو توقيت الدفع.
- بناء هذه العلاقات مع البائعين والعقود مسبقًا، كجزء من اتفاقية استبقاء للاستجابة للحوادث، بدلاً من البحث المحموم عن مساعدة في خضم الاختراق.
ما الذي يعنيه هذا بالنسبة لك
إذا كانت لدى مؤسستك خطة استجابة لهجمات الفدية، فإن هذه الحالة هي حافز جيد لإعادة النظر في من يوجد فعلًا في تلك الخطة ومدى معرفتك بهم. إن تهديد المفاوض الداخلي في فدية BlackCat نادر الحدوث، لكن العواقب وخيمة بما يكفي لجعل قدر متواضع من الفحص المسبق يستحق الجهد. ينطبق المنطق نفسه على أي طرف ثالث لديه وصول متميز أثناء الاختراق: المحققون الجنائيون الرقميون، المستشارون القانونيون، وشركات العلاقات العامة جميعًا يستحقون نفس التدقيق الذي ستطبقه على بائع برمجيات جديد.
النقاط الرئيسية
- افحص شركات الاستجابة للحوادث والتفاوض قبل الأزمة، بما في ذلك فحوصات خلفية الموظفين والمراجع.
- اشترط وجود سجلات موثقة وقابلة للتدقيق لجميع مفاوضات الفدية بدلاً من الاعتماد على فرد واحد موثوق.
- تعامل مع الأطراف الثالثة المستجيبة كجزء من سطح الهجوم الخاص بك، وليس فقط كجزء من دفاعك.
- ابق على اطلاع حول كيفية استغلال مجموعات الفدية والابتزاز للثقة في كل مرحلة من الاختراق، من الوصول الأولي إلى المفاوضات النهائية.
