مفاوض موثوق كان يعمل لصالح المهاجمين
عندما تتعرض شركة لهجوم ببرمجيات الفدية، غالباً ما تكون إحدى أولى المكالمات إلى مفاوض محترف، يُستعان به لخفض مبلغ الفدية، وكسب الوقت، والعمل كحاجز بين المدراء المذعورين والمخترقين الإجراميين. هذا النظام يعتمد بالكامل على الثقة. وتُظهر إحدى أحكام المحكمة الفيدرالية الأخيرة ما يحدث عندما تُخترق هذه الثقة من الداخل.
حُكم على مفاوض برمجيات فدية بالسجن لمدة 70 شهراً في سجن فيدرالي بعد أن وجد المدعون أنه تآمر سراً مع عصابة BlackCat (المعروفة أيضاً باسم ALPHV) لبرمجيات الفدية بينما كان يدعي تمثيل الضحايا. فبدلاً من حماية الشركات التي استعانت به، يُزعم أنه زود المهاجمين بتفاصيل حساسة، بما في ذلك معلومات حول تغطية التأمين الخاصة بالعملاء وسقوف الدفع، مما أعطى المجرمين نفوذاً للمطالبة بمزيد من المال وممارسة ضغط أكثر فعالية. وكجزء من الحكم، يصادر أيضاً عملات رقمية مرتبطة بالمخطط.
حددت القضية ما لا يقل عن خمس مؤسسات ضحية، من بينها شركة أجهزة طبية في فلوريدا قوبلت في البداية بمطلب فدية قدره 10 ملايين دولار قبل أن تدفع في النهاية نحو 1.2 مليون دولار، وشركة أدوية في ماريلاند، وعيادة طبيب. كما تداخل النطاق الكامل للمخطط مع نزاعات داخلية بين عصابات فدية متنافسة، حيث هددت إحدى المجموعات بكشف عمليات الأخرى، وهو تذكير بأن النظم الإجرامية ليست محصنة ضد الصراع الداخلي والخيانة.
كيف قوَّض المخطط الضحايا
يحتل مفاوضو برمجيات الفدية موقعاً فريداً من حيث الحساسية. فأداء عملهم يتطلب عادة الوصول إلى معلومات لا تقدمها معظم الشركات لطرف خارجي: مقدار السيولة المتاحة، وما تغطيه وثيقة التأمين السيبراني فعلياً، والمواعيد النهائية الداخلية، ومدى يأس القيادة من حل الموقف بهدوء. يُفترض أن تبقى هذه المعلومات سرية ولا تُستخدم إلا لحماية مصالح العميل أثناء التفاوض.
عندما يمرر المفاوض هذه المعلومات إلى المهاجمين بدلاً من ذلك، تتعرض عملية الاستجابة للحادثة للخطر قبل أن تبدأ حتى. يعتقد الضحايا أنهم يتفاوضون من موقع استراتيجية مستنيرة، بينما في الواقع يعرف الطرف الآخر سقفهم المالي بالفعل. ويُفسر هذا الخلل على الأرجح سبب تصاعد المطالب في هذه الحالات بشكل كبير، ولماذا كان الطلب الأولي لشركة الأجهزة الطبية أعلى بثماني مرات مما دفعته في النهاية.
هذه ليست حادثة منعزلة. كما ذكرنا في تغطيتنا لمفاوض فدية من فلوريدا أُدين في قضية ابتزاز أمريكية منفصلة، حددت أجهزة إنفاذ القانون الآن عدة مفاوضين مرتبطين بنفس شبكة الابتزاز المرتبطة بـ BlackCat. يشير هذا النمط إلى أن الأمر لم يكن خيانة فردية، بل جهداً متعمداً ومنظماً جزئياً لاستغلال قطاع الاستجابة للحوادث من الداخل.
آثار الخصوصية على ضحايا الاختراق
يمتد أثر الخصوصية هنا إلى ما هو أبعد من مبالغ الفدية. تحتفظ شركات الأجهزة الطبية وشركات الأدوية والعيادات الطبية بشكل روتيني ببيانات حساسة للمرضى والصحة. وعندما يعمل مفاوض سراً ضد مصالح الضحية، تبرز تساؤلات حقيقية حول المعلومات الحساسة الأخرى التي قد تكون عُرضت أو أُسيء التعامل معها أو استُخدمت كورقة ضغط إضافية أثناء عملية الابتزاز. والشركات العاملة في قطاع الرعاية الصحية والقطاعات الخاضعة للتنظيم ملزمة بالفعل بحماية بيانات المرضى بموجب التزامات خصوصية صارمة، وخيانة من الداخل أثناء حادثة فدية تعقد كل قرار لاحق، بما في ذلك ما إذا كان ينبغي إخطار الأفراد المتضررين وكيفية ذلك.
كما يسلط الضوء على نقطة عمياء لا تنظر فيها العديد من المؤسسات إلا بعد فوات الأوان: نادراً ما تخضع جهات الاستجابة للحوادث، بمن فيهم المفاوضون وشركات الفحص الجنائي وحتى المستشارون القانونيون الذين يُستعان بهم أثناء الاختراق، لنفس التدقيق الذي يُطبق على مخاطر الأطراف الثالثة الأخرى. فقد تجري الشركة فحصاً دقيقاً للعناية الواجبة على مزود خدمة سحابية أو بائع برمجيات، لكنها تستعين بمفاوض أثناء الأزمة بناءً على السمعة أو الاستعجال إلى حد كبير.
ماذا يعني هذا بالنسبة لك
إذا احتاجت مؤسستك يوماً إلى الاستعانة بمفاوض برمجيات فدية أو شركة استجابة للحوادث، فإن هذه القضية تدعو إلى التمهل لا الذعر. تحقق من أوراق الاعتماد بشكل مستقل بدلاً من الاعتماد فقط على إحالات من شركة التأمين أو جهة اتصال واحدة. اطرح أسئلة مباشرة حول كيفية التعامل مع معلومات العميل وتخزينها ومشاركتها، وأصر على حدود موثقة لما يمكن للمفاوض كشفه وما لا يمكنه كشفه. إذا كانت وثيقة التأمين السيبراني تفرض قائمة بائعين محددة، فراجع هذه القائمة بشكل استباقي قبل وقوع الهجوم، بدلاً من التدافع أثناء حادثة قائمة حيث يكون النفوذ وسلامة التقدير معرضين للخطر.
أما بالنسبة للأفراد، فالخلاصة أبسط لكنها لا تقل أهمية: إذا تلقيت إشعاراً بأن مقدم رعاية صحية أو صيدلية أو شركة أجهزة طبية تعاملت معها تعرضت لحادثة فدية، خذ الإشعار على محمل الجد حتى لو قالت الشركة إن تعرض البيانات كان محدوداً. تظهر حالات كهذه أن المعالجة الداخلية للاختراق قد تكون أكثر فوضوية بكثير مما توحي به التصريحات العلنية.
خلاصات
يُعد هذا الحكم مثالاً نادراً وملموساً على كيف يمكن تسليح دور مفاوض برمجيات الفدية، المبني بالكامل على السرية والثقة، ضد المؤسسات ذاتها التي يفترض أن يحميها. افحص مزودي الاستجابة للحوادث قبل وقوع الأزمة، وأدرج حدوداً واضحة لمشاركة المعلومات في أي عقد، وتذكر أن نفوذ مفاوض الفدية يعتمد على بقاء السرية سراً في جانبك أنت، لا في جانب المهاجم.
