Доверен вътрешен човек се обърна срещу собствените си клиенти

Когато дадена компания стане жертва на рансъмуер, обикновено се обръща към преговарящ – човек, чиято работа е да комуникира с нападателите, да оцени ситуацията и да се опита да ограничи щетите. Тази връзка изцяло зависи от доверието. Бивш преговарящ от компанията за реакция при инциденти DigitalMint току-що показа какво се случва, когато това доверие бъде нарушено.

Анджело Мартино, на 41 години, беше осъден на 70 месеца федерален затвор за заговор с рансъмуер групата BlackCat (известна още като ALPHV), докато е работил като преговарящ, уж представляващ интересите на жертвите. Вместо чисто да защитава клиентите си, Мартино използвал позицията си, за да предава информация обратно на същите престъпници, от които клиентите му се опитвали да се отбраняват, според репортаж на Help Net Security. Случаят, разгледан по-подробно в нашето по-ранно отразяване на 70-месечната присъда на преговарящия от DigitalMint, подчертава заплаха, за която повечето жертви на рансъмуер дори не се замислят: човекът, нает да ги защитава.

Защо преговарящите при рансъмуер разполагат с толкова чувствителни данни

Преговарящите при рансъмуер заемат изключително привилегирована позиция. За да вършат ефективно работата си, те обикновено се нуждаят от достъп до детайли, които повечето служители в организацията жертва никога не виждат: обхвата на пробива, какви данни са откраднати, какво покритие за киберзастраховка има компанията и колко реалистично е склонна или способна да плати. Тази информация е злато за нападателя. Знаейки лимитите на застраховката на жертвата например, рансъмуер групата може да калибрира искането си за откуп, за да изстиска максимално възможното плащане.

Точно това прави случая с Мартино забележителен от гледна точка на личните данни. Не става дума за външен хакер, проникващ в системите на компанията. Става дума за вътрешен човек, доведен специално заради чувствителния достъп, който ролята му изисква, и който уж е използвал този достъп срещу хората, които са го наели. Фирмите за реакция при инциденти и преговори съществуват, защото повечето организации нямат специализираните умения да се справят сами с криза с рансъмуер. Това разчитане на външни експерти е разумно и често необходимо, но означава също, че жертвите дават доверие на трета страна с минимална възможност да проверят независимо дали това доверие е оправдано.

По-широката екосистема на рансъмуера още сега принуждава жертвите да правят трудни компромиси с личните данни. Плащането на откуп не гарантира, че откраднатите данни ще бъдат изтрити, а воденето на преговори с добра воля предполага, че и другата страна, и всички, които ви съветват, също действат с добра воля. Случай като този подкопава това предположение по начин, който може да направи жертвите по-несклонни да споделят изцяло информация с точно тези професионалисти, които трябва да им помогнат, което потенциално забавя реакцията при инцидент в момента, когато тя е най-важна.

Какво означава това за вас

Повечето читатели никога няма да наемат лично преговарящ за рансъмуер, но основният урок важи широко: доставчиците трети страни, които имат достъп до чувствителните ви данни, са толкова надеждни, колкото най-слабото звено в организацията на този доставчик. Независимо дали става дума за адвокатска кантора, изпълнител по реакция при инциденти, доставчик на облачни услуги или всяка компания, която обработва личната или финансовата ви информация, сигурността на тази връзка зависи от вътрешни контроли, които не можете да видите отвън.

За бизнеса този случай е напомняне да задава трудни въпроси преди и по време на инцидент с рансъмуер. Кой от преговарящата фирма има достъп до застрахователни детайли и правомощия за плащане? Има ли вътрешни контроли, които пречат на един служител да комуникира директно със заплахите без надзор? Записват ли се и преглеждат ли се разговорите? Това не са въпроси, за които повечето компании се сещат да зададат по време на криза, но те трябва да са част от дю дилиджънс преди изобщо да настъпи пробив, а не след това.

За отделните хора изводът е по-косвен, но все още актуален. Когато компания, с която правите бизнес, претърпи рансъмуер атака, справянето с този инцидент, включително кой има достъп до компрометираните ви данни по време на преговори, до голяма степен е извън вашия контрол. Това е още една причина да ограничите количеството чувствителни лични данни, които споделяте с отделна организация на първо място, и да използвате инструменти като мениджъри на пароли и многофакторно удостоверяване, така че един пробив да не може да прерасне в по-широко компрометиране на акаунти.

Изводи как да изпреварим вътрешния риск

Тази присъда изпраща ясен сигнал, че предателството от вътрешен човек по време на реакция при рансъмуер носи сериозни правни последици, но превенцията е по-важна от наказанието след факта. Ако вашата организация работи с фирми за реакция при инциденти или преговори, настоявайте за документирани контроли на достъпа, независим надзор на преговорите и ясна договорна отговорност. Ако сте физическо лице, засегнато от пробив в компания, на която имате доверие, приемайте известията сериозно, сменяйте повторно използвани пароли и следете акаунтите, свързани с тази организация.

Случаят с Мартино вероятно ще бъде цитиран с години като предупредителен пример в областта на преговарящите при рансъмуер. За всички останали той е полезно напомняне, че доверието в криза трябва да се спечели и провери, а не да се предполага.