Vyjednavač ransomwaru by měl být tou osobou, která v místnosti bojuje za oběť. Tato důvěra byla otřesena v případě Angelo Martina, bývalého vyjednavače ve firmě na reakci na incidenty DigitalMint, který byl odsouzen k 70 měsícům federálního vězení za to, že tajně předával důvěrné informace o klientech ransomwarovému gangu BlackCat – tedy právě těm útočníkům, proti nimž byl najat vyjednávat.

Rozsudek uzavírá jednu z nejznepokojivějších kapitol nedávné historie ransomwaru: případ, kdy domnělý obránce pracoval pro obě strany vyjednávacího stolu.

Důvěryhodný zasvěcenec se proměnil v zrádce

Když firmu zasáhne ransomware, najmout profesionálního vyjednavače je často jeden z prvních telefonátů po kontaktování policie a právního poradce. Tito specialisté jsou přizváni právě proto, že oběti jsou v panice, technicky zahlcené a zoufale se snaží zabránit dalším škodám. Dobrý vyjednavač má získat čas, zatlačit na nadsazené požadavky a nakonec srazit výkupné na částku, kterou oběť dokáže přežít zaplatit – pokud k platbě vůbec dojde.

Martinova role v DigitalMint ho postavila přesně do tohoto vztahu. Podle původních zpráv zneužíval svůj přístup k údajům o klientech, včetně informací o tom, pod jakým tlakem se oběti nacházejí a kolik by mohly být ochotny zaplatit, aby operátorům BlackCatu pomohl vymoci vyšší částky, nikoli nižší. Ve skutečnosti postavil práci vyjednavače na hlavu a snažil se maximalizovat škodu těm samotným klientům, kteří si ho najali pro ochranu.

Jak již dříve informoval vpn.social, toto uspořádání zcela záviselo na předpokladu, že loajalita vyjednavače směřuje jedním směrem. Martinovo jednání tento předpoklad rozbilo způsobem, který otřásl odvětvím reakce na incidenty.

Jak schéma dvojitého agenta fungovalo

Mechanika tohoto schématu byla přímočará, avšak ničivá. Tím, že Martino předával důvěrné podrobnosti, informace o pojištění, vyjednávací strategii nebo o tom, kolik si organizace oběti může realisticky dovolit, poskytl útočníkům BlackCatu nespravedlivou výhodu v každém vyjednávání, kterého se dotkl. Místo aby se požadavky na výkupné pod jeho údajnou obhajobou snižovaly, byly potichu nastaveny tak, aby rostly.

Nešlo přitom o ojedinělý incident. Související zpravodajství o případu, včetně reportáže o širším schématu vyjednavačů BlackCat, uvádí, že Martino nebyl jediným vyjednavačem zapleteným do takového jednání spojeného se stejnou ransomwarovou operací. Samostatný případ týkající se vyjednavače z Floridy odsouzeného v souvisejícím vyděračském případu podtrhuje, že nešlo o ojedinělé selhání úsudku jednoho špatného aktéra, ale o vzorec, který zneužil strukturální důvěru zakořeněnou v odvětví reakce na incidenty.

Sedmdesátiměsíční trest odráží vážnost, s jakou federální prokurátoři k této zradě přistoupili: nešlo o prostou nedbalost či selhání bezpečnosti, ale o zasvěcence, který záměrně pracoval proti lidem, kteří mu svěřili svou důvěru – a svá citlivá data.

Co to znamená pro vás

Většině lidí se tento případ může zdát vzdálený každodennímu životu, ale dotýká se něčeho, na čem by mělo záležet každému: jak velkou důvěru vkládáme do prostředníků, kteří během krize nakládají s našimi nejcitlivějšími informacemi. Vyjednavači ransomwaru sedí v jedinečně privilegované pozici. Vidí interní finanční podrobnosti, bezpečnostní mezery a komunikaci, kterou by organizace oběti nikdy nechtěla zveřejnit.

Když je tato důvěra zneužita, dopady přesahují samotné poškozené společnosti. Zaměstnanci, zákazníci a všichni, jejichž osobní údaje byly v napadených systémech uloženy, mohou zaplatit cenu dvakrát: jednou prostřednictvím původního ransomwarového útoku a podruhé skrze vyjednávací proces, který proti nim tajně pracoval.

Tento případ je připomínkou, že soukromí a bezpečnost při ransomwarovém incidentu nekončí najmutím specialisty. Dohled, ověřování a nezávislá kontrola chování vyjednavače jsou stejně důležité jako samotná prvotní reakce na útok.

Praktické rady

Pokud se vaše organizace někdy ocitne ve vyjednávání s provozovateli ransomwaru nebo pokud jen chcete porozumět tomu, jak se tyto incidenty vyvíjejí, z Martinova případu vyplývá několik ponaučení:

  • Pečlivě prověřujte dodavatele reakce na incidenty a ptejte se, jak během aktivních vyjednávání monitorují své vlastní zaměstnance z hlediska střetu zájmů.
  • Vyžadujte transparentnost ohledně toho, kdo má přístup k citlivým podrobnostem vyjednávání, včetně finančních limitů a informací o pojištění.
  • Zvažte nezávislý dohled nebo druhý kontaktní bod, když jde o vysoké požadavky na výkupné, místo spoléhání se pouze na slova jednoho vyjednavače.
  • Sledujte, jak vyjednávání o ransomwaru vlastně funguje, protože porozumění motivacím, které zde hrají roli, pomáhá organizacím klást lepší otázky dříve, než k útoku dojde – ne až poté.

Odsouzení vyjednavače ransomwaru za zradu vlastních klientů je extrémním případem, ale ukazuje jednoduchou pravdu: důvěru v krizi je třeba si zasloužit a ověřit, nikoliv předpokládat.