Новината, че преговарящ за откупи при рансъмуер, арестуван по обвинения в изнудване, е съосновател на фирма, която жертвите наемат за помощ, разтърси индустрия, изградена върху доверие. Едуард Дубровски, съосновател на CYPFER, компания, която преговаря с оператори на рансъмуер, беше арестуван на 8 октомври в Пенсилвания. Медийни публикации свързват случая с групата ShinyHunters, но ФБР не е потвърдило тази връзка.

Тази публикация се придържа към това, което е било докладвано, отбелязва какво все още е неизвестно и обяснява защо историята е важна за организации и лица, които един ден може да се сблъскат с искане за откуп.

Какво знаем за ареста на Дубровски

Потвърдените факти са ограничени. Дубровски е съосновател на CYPFER, фирма, чиято работа включва преговори с оператори на рансъмуер от името на жертвите. Той беше арестуван на 8 октомври в Пенсилвания, а обвиненията са свързани с изнудване.

Отвъд това публичният запис е оскъден. Източникът на репортажа не описва подробно конкретните твърдения, хронологията на предполагаемото поведение или дали клиенти на CYPFER са били засегнати. Арестът не е присъда и Дубровски има право на презумпция за невинност. Читателите трябва да се отнасят с внимание към всеки разказ, който запълва тези празнини с увереност.

Какво показва и какво не показва връзката с ShinyHunters

Част от медийните публикации свързват случая с ShinyHunters, група, известна с кампании за изнудване. ФБР не е потвърдило това. Тази разлика е важна.

Медийна връзка може да означава няколко неща: репортер е видял съдебни документи, източник е описал разследването или наблюдатели правят изводи от времето на събитията. Нито едно от тези не е същото като официално изявление от разследващите. Докато документите по обвинението или изявление на агенция не уточнят връзката, тя трябва да се третира като докладвана асоциация, а не като установен факт.

Също така си струва да се помни, че групите за изнудване сами по себе си са ненадеждни разказвачи. Техните твърдения често са предназначени да оказват натиск върху жертвите, както се вижда от нашия анализ на това как твърденията за пробива при Carhartt бяха наполовина намалени след преглед от Трой Хънт. Скептицизмът се отнася за всяка страна в история като тази, включително анонимните източници.

Как работят фирмите за преговори при рансъмуер и къде са рисковете

Когато компания бъде ударена от рансъмуер, тя често се обажда на фирма за реагиране при инциденти. Някои от тези фирми се специализират в комуникация с атакуващите: потвърждаване какви данни са откраднати, печелене на време и понякога договаряне на плащане. Жертвите обикновено предоставят на тези фирми дълбок достъп до чувствителни подробности, включително обхвата на компрометирането, финансовите граници на организацията и колко спешно ѝ трябват системите обратно.

Този достъп е точно това, което създава риск. Преговарящият стои между отчаяна жертва и престъпник, а жертвата обикновено не може да провери какво се казва в тези разговори. Индустрията също е слабо регулирана, така че клиентите зависят в голяма степен от репутацията и етиката на фирмата.

Това не е първият път, когато секторът е подложен на проверка. Наскоро разгледахме как основателят на Monster Cloud Зоар Пинхаси беше арестуван заради твърдения за откуп, което също хвърли светлина върху неудобен ъгъл на реагирането при инциденти. Два случая не доказват тенденция, но наистина подтикват към по-внимателни въпроси относно надзора.

Какво сигнализира арестът за жертвите и правоприлагането

За правоприлагането арестът на съосновател на фирма за преговори подсказва, че разследващите са готови да разгледат посредниците около рансъмуера, а не само престъпните групи. Подробностите по този случай тепърва ще се появяват, така че е твърде рано да се каже доколко далеч се простира този подход.

За жертвите случаят е напомняне, че наемането на преговарящ е решение, което заслужава надлежна проверка, а не паническа покупка.

Какво означава това за вас

Ако ръководите или съветвате организация, тази история не е причина да избягвате професионална помощ по време на атака. Опитните специалисти по реагиране могат да бъдат ценни. Тя е причина да проверявате внимателно тази помощ.

Ако сте физическо лице, практическото въздействие е косвено. Много пробиви, които разкриват лични данни, завършват с изнудване, а хората, които водят тези преговори, влияят върху това как се третират вашите данни. Отнасяйте се с внимание към твърденията от атакуващите и от непотвърдени медийни връзки, докато не бъдат потвърдени.

Практически изводи

  • Проверявайте партньорите си за реагиране при инциденти предварително. Питайте за проверки на миналото, политики за конфликт на интереси и как се документира комуникацията при преговори.
  • Поддържайте записи и надзор. Уверете се, че ръководството и правният съвет могат да виждат транскриптите и решенията от преговорите.
  • Включвайте правоприлагащите органи рано. Докладвайте инциденти на съответните власти, вместо да разчитате единствено на частни посредници.
  • Отделяйте твърдението от факта. Връзката с ShinyHunters е непотвърдена. Изчакайте официално потвърждение, преди да правите изводи.
  • Вижте по-широката картина. Арестът на Monster Cloud се вписва в модел на засилено внимание към преговарящите, а публикацията за Carhartt по-горе показва защо твърденията на групите за изнудване трябва да се четат критично.

Историята за преговарящ за откупи при рансъмуер, арестуван по обвинения в изнудване, все още се развива. Проверявайте за официални актуализации, преди да формирате мнение, и използвайте този момент, за да преразгледате на кого бихте се доверили в криза.