Co se stalo: Vyjednavač, který pracoval pro obě strany
Když firmu zasáhne ransomware, jedním z prvních telefonátů směřuje k vyjednavači: specialistovi, kterému se důvěřuje, že bude stát mezi vyděšenou obětí a zločineckou skupinou a pomůže snížit požadavek na výkupné nebo získat čas na obnovu. Tento vztah zcela závisí na důvěře. Podle reportáže společnosti Malwarebytes jeden takový vyjednavač tuto důvěru porušil tím nejničivějším možným způsobem. Místo aby obětem pomáhal vzdorovat ransomwarovému gangu BlackCat, tajně předával zločincům informace přímo z vyjednávání, která měl vést jménem obětí.
Výsledkem byl scénář vnitřní hrozby ze strany vyjednavače ransomwaru, který oběti stál miliony. Namísto toho, aby fungoval jako firewall mezi společností a útočníkem, stal se vyjednavač v podstatě druhým útočníkem – s privilegovaným přístupem k finančním limitům oběti, právní strategii a ochotě zaplatit. To je asi to nejhorší, k čemu může při reakci na incident dojít, protože to promění samotnou ochranu, za kterou organizace platí, v závazek.
Jak ransomwarové gangy fungující jako služba rekrutují důvěryhodné prostředníky
BlackCat, známý také jako ALPHV, funguje jako skupina nabízející ransomware jako službu (RaaS), což znamená, že licencuje svůj malware a infrastrukturu přidruženým subjektům, které provádějí útoky a dělí se o zisky. Tento obchodní model vždy spoléhal na budování sítí lidí ochotných spolupracovat za podíl na výnosech – od počátečních přístupových brokerů, kteří prodávají ukradené přihlašovací údaje, až po afiláty, kteří nasazují samotnou šifrovací zátěž. Zkompromitovaný nebo spolupracující vyjednavač je jen dalším logickým rozšířením této sítě: někdo zabudovaný v legitimním ekosystému reakce na incidenty, kdo může sdílet zpravodajské informace, které by gang sám nikdy nezískal.
Právě proto tento případ přesahuje samotný BlackCat. Ransomwarové gangy stále více chápou, že nejslabším článkem reakce na únik dat není vždy firewall nebo nezáplatovaný server. Může jím být člověk, konkrétně člověk, kterého se oběť rozhodla důvěřovat v nejvypjatějším okamžiku bezpečnostního incidentu. Stejný princip zneužívání důvěry a přístupu se objevuje napříč celým prostředím ransomwaru a vydírání dat, včetně incidentů, jako je únik dat z HR systémů Rady Evropy skupinou ShinyHunters, kde útočníci opět ukázali, jak efektivně dokážou zločinecké skupiny využít vnitřní přístup, jakmile naleznou cestu dovnitř.
Proč to rozšiřuje útočnou plochu pro oběti úniku dat
Většina organizací přemýšlí o riziku ransomwaru z hlediska své vlastní sítě: koncové body, servery, zálohy, školení zaměstnanců. Mnohem méně jich uvažuje o riziku, které přinášejí externí dodavatelé a konzultanti přizvaní až po zahájení útoku. Vyjednavač – stejně jako forenzní vyšetřovatel nebo kouč pro reakci na únik – má však během krize často přístup k těm nejcitlivějším informacím, jaké společnost má: výše výkupného, kterou je oběť ochotna zaplatit, jaká data byla skutečně ukradena a jak zoufale se organizace snaží vyhnout zveřejnění.
Když je tento přístup zneužit, škody se násobí. Oběti nepřijdou jen o peníze za samotné výkupné – ztratí veškerou vyjednávací páku, kterou měly, protože gang zná jejich spodní hranici ještě před zahájením rozhovorů. Tento případ připomíná, že dodavatelský řetězec reakce na incidenty si zaslouží stejnou kontrolu jako jakýkoli jiný vztah s dodavatelem a že důvěra v krizi by nikdy neměla být automatická jen proto, že někdo má správný pracovní titul.
Jak prověřit incidentní respondéry a vyjednavače ještě před vypuknutím krize
Nejlepší čas na prověření vyjednavače ransomwaru nebo firmy pro reakci na incidenty je před útokem, nikoli během něj, kdy časový tlak téměř znemožňuje pečlivou due diligence. Organizace mohou podniknout několik konkrétních kroků:
- Ověřte si historii firmy a požádejte o reference od minulých klientů, kteří zažili podobné incidenty.
- Ptejte se, jak firma prověřuje své vlastní zaměstnance, včetně kontrol minulosti a interních opatření, která určují, kdo má přístup k podrobnostem vyjednávání.
- Trvejte na zdokumentovaných a auditovatelných záznamech komunikace během každého vyjednávání, místo abyste se spoléhali pouze na jednu kontaktní osobu.
- Zapojte externího právního poradce nebo druhého bezpečnostního poradce, který nezávisle ověří zásadní rozhodnutí, jako je výše výkupného nebo načasování platby.
- Vybudujte tyto dodavatelské vztahy a smlouvy předem, jako součást paušální smlouvy o reakci na incidenty, místo abyste hledali pomoc v panice uprostřed úniku.
Co to znamená pro vás
Pokud má vaše organizace plán reakce na ransomware, tento případ je dobrou pobídkou k tomu, abyste si znovu prověřili, kdo v tomto plánu skutečně je a jak dobře ho znáte. Vnitřní hrozba ze strany vyjednavače ransomwaru je vzácná, ale následky jsou natolik vážné, že mírné úsilí vložené do předběžného prověření se vyplatí. Stejná logika platí pro jakoukoli třetí stranu s privilegovaným přístupem během úniku dat: forenzní vyšetřovatelé, právní poradci a PR agentury si zaslouží stejnou prověrku, jakou byste provedli u nového dodavatele softwaru.
Klíčové poznatky
- Prověřujte firmy pro reakci na incidenty a vyjednavače ještě před krizí, včetně kontrol minulosti zaměstnanců a referencí.
- Vyžadujte zdokumentované a auditovatelné záznamy všech vyjednávání o výkupném, místo spoléhání se na jednoho důvěryhodného jednotlivce.
- Přistupujte k externím respondentům jako k součásti vaší útočné plochy, nejen vaší obrany.
- Sledujte aktuální informace o tom, jak ransomwarové a vyděračské skupiny zneužívají důvěru v každé fázi úniku, od počátečního přístupu až po závěrečné vyjednávání.
