Důvěryhodný insider se stal spolupachatelem

Když se společnost stane obětí ransomwaru, často se obrací na specializovaného vyjednavače, aby vedl citlivou a vysoce rizikovou komunikaci s útočníky. Přesně tuhle roli hrál Angelo Martino (41) ve firmě DigitalMint, která organizacím pomáhá zvládat ransomwarové incidenty a vyjednávat platby jejich jménem. Martino byl přizván k aktivním případům narušení a seděl na té straně stolu, která měla oběti chránit.

Podle soudních záznamů však Martino tajně spolupracoval s přidruženými členy ransomwarové skupiny BlackCat (známé také jako ALPHV), jedné z nejznámějších vyděračských operací posledních let. Místo aby hájil zájmy svých klientů, údajně předával útočníkům důvěrné informace z vyjednávání, která měl jménem obětí vést. Tyto interní znalosti údajně pomohly gangu vymáhat vyšší platby a podle zpráv tento podvod přispěl k tomu, že z obětí z různých případů bylo vymáčknuto zhruba 75 milionů dolarů. Martino se přiznal a byl odsouzen k 70 měsícům federálního vězení.

Jak tento podvod podkopal vyjednávání o ransomwaru

Vyjednávání o ransomwaru existuje proto, že společnosti čelící útoku často postrádají specializované znalosti pro komunikaci se zločineckými skupinami, posouzení věrohodnosti hrozeb nebo určení, zda je vůbec vhodné výkupné zaplatit. Firmy jako DigitalMint mají fungovat jako firewall a využívat své zkušenosti ke snížení požadavků, ověření schopnosti obnovy dat a zabránění tomu, aby byly oběti zneužity dvakrát.

Martinův případ tento model obrací naruby. Tím, že z probíhajících vyjednávání unikaly citlivé detaily – včetně interních informací o klientech, finančních limitech a stavu vyjednávací pozice oběti – fakticky předal přidruženým členům BlackCat návod, jak tlačit na maximální výkupné. To je hluboké porušení důvěry, nejen mezi Martinem a jeho zaměstnavatelem, ale i mezi zaměstnavatelem a každým klientem, který předpokládal, že jeho tým pro řešení krize pracuje výhradně pro něj.

Tento druh tajné spolupráce zevnitř je obzvláště škodlivý, protože oběti ransomwaru se již nacházejí ve zranitelné pozici. Často jsou pod tlakem rychle rozhodovat o citlivých datech, provozních výpadcích a regulatorních dopadech. Případy jako Instructure zaplatila výkupné po narušení Canvasu ukazují, jak organizace někdy dospějí k závěru, že platba je tou nejméně škodlivou možností. Když vyjednavač, který o tomto rozhodnutí rozhoduje, má finanční motivaci pracovat proti oběti, celá kalkulace použitá k ospravedlnění platby je zkompromitována.

Proč tento případ vyvolává větší obavy o soukromí pro firmy

Dopady na soukromí zde sahají daleko za okamžité finanční ztráty. Vyjednávání o ransomwaru obvykle zahrnuje sdílení vysoce citlivého materiálu: rozsahu ukradených dat, interních bezpečnostních posudků, výkonné komunikace a podrobností o tom, co je společnost ochotna zaplatit. Oběti tyto informace sdílejí za předpokladu, že zůstanou v přísně kontrolovaném okruhu důvěryhodných respondentů.

Martinovy činy ukazují, že samotný ekosystém reakce na incidenty se může stát bodem selhání. Dokonce i organizace, které po narušení udělají vše správně – najme si renomované firmy, dodržují doporučené protokoly a spolupracují s orgány činnými v trestním řízení – mohou mít svá data a vyjednávací pozici podkopány zevnitř. To připomíná nátlakové taktiky pozorované u jiných vysoce profilovaných vyděračských kampaní, jako jsou eskalující taktiky, kdy ShinyHunters poničili školní portály během své výkupné kampaně Canvas, kde útočníci spoléhali na veřejné zostuzení a datovou páku, aby si vynutili řešení.

Co to znamená pro vás

Pokud by se vaše organizace někdy ocitla ve vyjednávání s ransomwarovou skupinou, tento případ je připomínkou, že výběr dodavatele si zaslouží stejnou pozornost jako vaše nástroje kybernetické bezpečnosti. Zeptejte se potenciálních vyjednávacích firem na interní kontroly, prověřování zaměstnanců a na to, jak jsou data klientů během aktivního případu segmentována a monitorována. Požadujte jasno v tom, kdo má přístup k podrobnostem vyjednávání a zda má někdo nekontrolovanou pravomoc nad komunikací s útočníky.

Pro jednotlivce a menší firmy bez prostředků na rozsáhlou due diligence dodavatelů je závěr širší: minimalizujte citlivá data, která by mohla být v první řadě odhalena. Silné postupy zálohování, segmentace sítě a omezení množství osobních nebo finančních údajů uložených ve snadno přístupných systémech snižují, jak velkou páku nad vámi může ransomwarová skupina nebo zkompromitovaný insider mít.

Klíčové poznatky

  • Prověřujte firmy pro reakci na incidenty a vyjednávání se stejnou přísností, jakou byste použili u jakéhokoli dodavatele, který nakládá s citlivými daty.
  • Ptejte se, jak vyjednávací firmy interně monitorují a kontrolují přístup zaměstnanců během aktivních ransomwarových případů.
  • Snižte objem citlivých dat uložených v systémech zranitelných vůči kompromitaci – čím méně údajů, tím menší páka pro útočníky nebo insidery.
  • Vyjednávání o ransomwaru berte jako rozhodnutí, které vyžaduje vlastní dohled, nikoli jako černou skříňku zcela svěřenou třetí straně.

Martinův případ je vzácným, ale závažným příkladem zrady zevnitř v odvětví reakce na ransomware. Neznamená to, že vyjednávacím firmám nelze obecně důvěřovat, ale zdůrazňuje, že důvěra by měla být ověřována, nikoli předpokládána, zvláště když jde o nejcitlivější podrobnosti o narušení společnosti.