Доверен преговарящ е работил за нападателите

Когато компания стане жертва на рансъмуер, едно от първите обаждания често е към професионален преговарящ – някой, нает да намали искания откуп, да спечели време и да действа като буфер между паникьосаните ръководители и киберпрестъпниците. Тази система изцяло разчита на доверие. Една скорошна федерална присъда показва какво се случва, когато това доверие бъде нарушено отвътре.

Преговарящ за рансъмуер беше осъден на 70 месеца във федерален затвор, след като прокурорите установиха, че тайно е заговорничел с групата за рансъмуер BlackCat (известна още като ALPHV), докато твърдял, че представлява жертви. Вместо да защитава компаниите, които са го наели, той уж предавал на нападателите чувствителна информация, включително детайли за застрахователното покритие и лимитите за плащане на клиентите, което давало на престъпниците предимство да искат повече пари и да оказват по-ефективен натиск. Като част от присъдата той също така конфискува криптовалута, свързана със схемата.

Случаят идентифицира най-малко пет организации жертви, включително компания за медицински изделия във Флорида, от която първоначално беше поискан откуп от 10 милиона долара, преди в крайна сметка да плати около 1,2 милиона долара, фармацевтична компания в Мериленд и лекарски кабинет. Целият обхват на схемата според съобщенията включва и вътрешни борби между конкуриращи се банди за рансъмуер, като едната група заплаши да разкрие операциите на другата – напомняне, че дори престъпните екосистеми не са имунизирани срещу вътрешни конфликти и предателства.

Как схемата подкопава жертвите

Преговарящите за рансъмуер заемат уникално чувствителна позиция. За да вършат работата си, те обикновено се нуждаят от достъп до информация, която повечето компании никога не биха предоставили на външен човек: колко пари са налични, какво точно покрива киберзастраховката, вътрешни крайни срокове и колко отчаяно е ръководството да разреши ситуацията тихомълком. Тази информация трябва да остане поверителна и да се използва само за защита на интересите на клиента по време на преговорите.

Когато вместо това преговарящият предава тази информация на нападателите, целият процес на реагиране при инцидент е компрометиран още преди да е започнал. Жертвите вярват, че преговарят от позиция на информирана стратегия, докато в действителност другата страна вече знае финансовия им таван. Този дисбаланс вероятно обяснява защо исканията по тези случаи ескалираха толкова агресивно и защо първоначалното искане към компанията за медицински изделия беше осем пъти по-високо от това, което в крайна сметка плати.

Това не е изолиран инцидент. Както съобщихме в отразяването си на осъдения за изнудване в САЩ преговарящ за рансъмуер от Флорида, правоприлагащите органи вече са идентифицирали множество преговарящи, свързани със същата мрежа за изнудване, свързана с BlackCat. Моделът подсказва, че това не е еднократно предателство, а целенасочено, поне частично организирано усилие за експлоатация на индустрията за реагиране при инциденти отвътре.

Последици за поверителността на жертвите на пробиви

Последиците за поверителността тук далеч надхвърлят размерите на откупа. Компаниите за медицински изделия, фармацевтичните фирми и лекарските кабинети рутинно съхраняват чувствителни данни за пациенти и здравна информация. Когато преговарящ тайно работи срещу интересите на жертвата, това повдига сериозни въпроси каква друга чувствителна информация може да е била изложена, злоупотребена или използвана като допълнителен лост по време на процеса на изнудване. Компаниите, работещи в здравеопазването и други регулирани сектори, вече са задължени да защитават данните на пациентите при строги изисквания за поверителност, а вътрешно предателство по време на рансъмуер инцидент усложнява всяко последващо решение, включително дали и как да уведомят засегнатите лица.

Това също така подчертава сляпо петно, което много организации не обмислят, докато не стане твърде късно: доставчиците на услуги за реагиране при инциденти, включително преговарящи, фирми за криминалистичен анализ и дори привлечени юридически съветници по време на пробив, рядко се проверяват със същата строгост, прилагана към други рискове от трети страни. Една компания може да извърши обширен дю дилиджънс на доставчик на облачни услуги или софтуер, но да привлече преговарящ по време на криза основно въз основа на репутация или спешност.

Какво означава това за вас

Ако вашата организация някога има нужда да наеме преговарящ за рансъмуер или фирма за реагиране при инциденти, този случай е причина да забавите темпото, а не да изпадате в паника. Проверявайте удостоверенията независимо, вместо да разчитате единствено на препоръки от вашия застраховател или едно-единствено лице за контакт. Задавайте директни въпроси за това как се обработва, съхранява и споделя информацията за клиента и настоявайте за документирани граници за това какво преговарящият може и какво не може да разкрива. Ако вашата киберзастрахователна полица налага конкретен списък с доставчици, прегледайте този списък проактивно, преди да е настъпила атака, вместо да се боричкате по време на активен инцидент, когато предимството и преценката са компрометирани.

За физическите лица изводът е по-прост, но все пак важен: ако бъдете уведомени, че доставчик на здравни услуги, аптека или компания за медицински изделия, с която сте имали взаимодействие, е претърпяла рансъмуер инцидент, вземете уведомлението на сериозно, дори ако компанията твърди, че разкриването на данни е ограничено. Случаи като този показват, че вътрешното обработване на пробив може да бъде далеч по-объркано, отколкото подсказват публичните изявления.

Изводи

Тази присъда е рядък, конкретен пример за това как ролята на преговарящия за рансъмуер, изградена изцяло върху поверителност и доверие, може да бъде използвана като оръжие срещу самите организации, които е предназначена да защитава. Проверявайте доставчиците си за реагиране при инциденти преди кризата да настъпи, вграждайте ясни граници за споделяне на информация във всеки договор и помнете, че предимството на преговарящия за рансъмуер зависи от тайната да остане тайна от вашата страна, а не от тази на нападателя.