Доверен вътрешен човек, превърнал се в съучастник
Когато дадена компания стане жертва на рансъмуер, тя често се обръща към специализиран преговарящ, който да проведе деликатния разговор с високи залози с атакуващите. Точно такава беше ролята на 41-годишния Анджело Мартино в DigitalMint — фирма, която помага на организации да се справят с рансъмуер инциденти и да договарят плащания от тяхно име. Мартино беше включван по време на активни пробиви, заставайки от страната на масата, която трябваше да защитава жертвите.
Вместо това, според съдебните документи, Мартино тайно е работил с филиали на рансъмуер групата BlackCat (известна също като ALPHV) — една от по-известните изнудвачески операции през последните години. Вместо да защитава интересите на клиентите си, той уж е подавал на атакуващите поверителна информация от преговорите, които е трябвало да води от името на жертвите. Тази вътрешна информация според сведенията е помогнала на бандата да изтръгне по-големи плащания, като докладите посочват, че схемата е допринесла за приблизително 75 милиона долара, изстискани от организации-жертви в множество случаи. Мартино се призна за виновен и беше осъден на 70 месеца във федерален затвор.
Как схемата подкопа преговорите при рансъмуер
Преговорите при рансъмуер съществуват, защото компаниите, изправени пред атака, често нямат специализираната експертиза да комуникират с престъпни групи, да оценяват достоверността на заплахите или да определят дали плащането на откуп изобщо е препоръчително. Фирми като DigitalMint трябва да действат като защитна стена, използвайки опита си, за да намалят исканията, да проверят възможностите за възстановяване на данни и да предпазят жертвите от двойна експлоатация.
Случаят на Мартино обръща този модел с главата надолу. Изтичайки чувствителни детайли от активни преговори, включително вътрешна информация за клиенти, финансови прагове и състоянието на преговорните позиции на жертвите, той на практика е предал на филиалите на BlackCat наръчника, от който са се нуждаели, за да изстискат максимални плащания. Това е дълбоко нарушение на доверието, не само между Мартино и неговия работодател, но и между работодателя му и всеки клиент, който е приемал, че неговият екип за реакция при кризи работи изключително за него.
Този вид вътрешен таен сговор е особено вреден, защото жертвите на рансъмуер и без това са в уязвима позиция. Те често са под напрежение да вземат бързи решения относно чувствителни данни, оперативен престой и регулаторна експозиция. Случаи като платения откуп от Instructure след пробива в Canvas показват как организациите понякога стигат до заключението, че плащането е най-малко вредният наличен вариант. Когато преговарящият, който взема това решение, има финансов стимул да работи срещу жертвата, цялото изчисление, използвано за оправдаване на плащане, става компрометирано.
Защо този случай повдига по-големи притеснения за поверителността на бизнеса
Последиците за поверителността тук надхвърлят непосредствените финансови загуби. Преговорите при рансъмуер обикновено включват споделяне на изключително чувствителен материал: обхватът на откраднатите данни, вътрешни оценки на сигурността, комуникации на ръководството и детайли за това колко една компания е склонна да плати. Жертвите споделят тази информация с предположението, че тя остава в строго контролиран кръг от доверени реагиращи лица.
Действията на Мартино демонстрират, че самата екосистема за реакция при инциденти може да се превърне в точка на отказ. Дори организации, които правят всичко правилно след пробив — наемат реномирани фирми, следват препоръчаните протоколи и си сътрудничат с правоприлагащите органи — могат да видят как данните и преговорната им позиция биват подкопани отвътре. Това отразява тактиките за натиск, наблюдавани в други известни изнудвачески кампании, като ескалиращите тактики, използвани когато ShinyHunters обезобразиха училищни портали по време на своята кампания за откуп Canvas, където атакуващите разчитаха на публично унижение и информационен лост, за да наложат разрешение.
Какво означава това за вас
Ако вашата организация някога се окаже в преговори с рансъмуер група, този случай е напомняне, че процесът на избор на доставчик заслужава същото внимание като вашите инструменти за киберсигурност. Питайте потенциалните преговарящи фирми за вътрешния контрол, проверките на служителите и как данните на клиентите са сегментирани и наблюдавани по време на активен случай. Изисквайте яснота кой има достъп до детайлите на преговорите и дали някое лице разполага с непроверена власт над комуникациите с атакуващите.
За физически лица и по-малки бизнеси без ресурси за обширна проверка на доставчиците, изводът е по-общ: минимизирайте чувствителните данни, които биха могли да бъдат изложени на първо място. Силните практики за архивиране, сегментирането на мрежата и ограничаването на обема лични или финансови данни, съхранявани в лесно достъпни системи, намаляват лостовете, които рансъмуер група или компрометиран вътрешен човек могат да имат срещу вас.
Основни изводи
- Проверявайте фирмите за реакция при инциденти и преговори със същата строгост, която бихте приложили към всеки доставчик, работещ с чувствителни данни.
- Питайте как преговарящите фирми вътрешно наблюдават и одитират достъпа на служителите по време на активни рансъмуер случаи.
- Намалете обема чувствителни данни, съхранявани в системи, уязвими за компрометиране, тъй като по-малко изложени данни означава по-малко лостове за атакуващите или вътрешните лица.
- Третирайте преговорите при рансъмуер като решение, изискващо собствен надзор, а не като черна кутия, управлявана изцяло от трета страна.
Случаят с Мартино е рядък, но сериозен пример за вътрешно предателство в индустрията за реакция при рансъмуер. Това не означава, че на преговарящите фирми не може да се има доверие като цяло, но подчертава, че доверието трябва да се проверява, а не да се предполага, особено когато най-чувствителните детайли за пробив на една компания са заложени на карта.
