Důvěryhodný insider se obrátil proti vlastním klientům

Když firmu zasáhne ransomware, obvykle si zavolá vyjednavače – někoho, kdo komunikuje s útočníky, posoudí situaci a snaží se minimalizovat škody. Tenhle vztah stojí výhradně na důvěře. Bývalý vyjednavač společnosti DigitalMint právě ukázal, co se stane, když je tahle důvěra zrazena.

Jedenačtyřicetiletý Angelo Martino byl odsouzen k 70 měsícům federálního vězení za spiknutí s ransomware skupinou BlackCat (známou také jako ALPHV) v době, kdy pracoval jako vyjednavač a měl údajně hájit zájmy obětí. Místo aby čistě bránil své klienty, Martino své postavení využíval k předávání informací právě těm zločincům, jimž se jeho klienti snažili ubránit, uvedl server Help Net Security. Případ, který podrobněji popisujeme v našem dřívějším článku 70měsíční trest pro vyjednavače DigitalMint, poukazuje na hrozbu, nad kterou většina obětí ransomwaru vůbec neuvažuje: na člověka najatého k tomu, aby je chránil.

Proč mají ransomwaroví vyjednavači přístup k tak citlivým údajům

Ransomwaroví vyjednavači zastávají výjimečně privilegovanou pozici. Aby mohli svou práci dělat efektivně, obvykle potřebují přístup k detailům, které většina zaměstnanců napadené organizace nikdy nevidí: rozsah úniku, jaká data byla ukradena, jak vysoké má firma kybernetické pojištění a jakou částku je společnost reálně ochotna či schopna zaplatit. Tyto informace jsou pro útočníka zlatý důl. Pokud například ransomwarová skupina zná limity pojištění oběti, může výkupné přesně nastavit tak, aby vymáčkla maximální možnou platbu.

Právě proto je Martinův případ z hlediska ochrany soukromí tak významný. Nejednalo se o externího hackera, který pronikl do firemních systémů. Šlo o insidera, někoho, kdo byl přizván právě kvůli citlivému přístupu, který jeho role vyžadovala, a kdo jej údajně zneužil proti těm, kdo si ho najali. Firmy pro řešení incidentů a vyjednávání existují proto, že většina organizací nemá vlastní specializované dovednosti, aby ransomwarovou krizi zvládla interně. Spoléhání na externí odborníky je racionální a často nezbytné, zároveň to ale znamená, že oběti svěřují důvěru třetí straně s minimální možností nezávisle si ověřit, zda je tato důvěra oprávněná.

Širší ransomwarový ekosystém už tak nutí oběti k obtížným kompromisům v oblasti soukromí. Zaplacení výkupného nezaručuje, že ukradená data budou smazána, a vyjednávání v dobré víře předpokládá, že i druhá strana – a všichni, kdo vám radí – jednají rovněž v dobré víře. Případ jako tento tento předpoklad podkopává a mohl by vést k tomu, že oběti budou zdrženlivější v úplném sdělování informací právě odborníkům, kteří jim mají pomoci, což může zpomalit reakci na incident právě ve chvíli, kdy je to nejdůležitější.

Co to znamená pro vás

Většina čtenářů si nikdy osobně nenajme ransomwarového vyjednavače, ale základní ponaučení platí obecně: dodavatelé třetích stran, kteří mají přístup k vašim citlivým datům, jsou důvěryhodní jen natolik, nakolik je spolehlivý nejslabší článek uvnitř jejich organizace. Ať už jde o advokátní kancelář, dodavatele pro reakci na incidenty, poskytovatele cloudových služeb nebo jakoukoli firmu, která zpracovává vaše osobní či finanční údaje, bezpečnost tohoto vztahu závisí na interních kontrolách, jež zvenčí nevidíte.

Pro podniky je tento případ připomínkou, aby si kladly nepříjemné otázky ještě před ransomwarovým incidentem i během něj. Kdo ve vyjednávací firmě má přístup k údajům o pojištění a k oprávnění provádět platby? Existují interní kontroly, které brání jedinému zaměstnanci v přímé komunikaci s útočníky bez dohledu? Jsou konverzace zaznamenávány a kontrolovány? To nejsou otázky, na které většina firem uprostřed krize pomyslí, ale měly by být součástí prověrky ještě předtím, než k úniku vůbec dojde – ne až poté.

Pro jednotlivce je poselství nepřímější, přesto relevantní. Když firma, se kterou obchodujete, utrpí ransomwarový útok, průběh řešení incidentu – včetně toho, kdo má během vyjednávání přístup k vašim kompromitovaným datům – je do značné míry mimo vaši kontrolu. To je další důvod, proč od začátku minimalizovat množství citlivých osobních údajů, které jakékoli jednotlivé organizaci svěřujete, a používat nástroje jako správci hesel a vícefaktorové ověřování, aby jediný únik nemohl přerůst v rozsáhlé napadení dalších účtů.

Tipy, jak se chránit před rizikem insidera

Tento rozsudek vysílá jasný signál, že zrada insidera během reakce na ransomware má vážné právní důsledky, avšak prevence je důležitější než zpětné potrestání. Pokud vaše organizace spolupracuje s firmami pro reakci na incidenty či vyjednavači, trvejte na zdokumentovaných přístupových kontrolách, nezávislém dohledu nad vyjednáváním a jasné smluvní odpovědnosti. Jste-li jednotlivcem zasaženým únikem dat u společnosti, které důvěřujete, berte oznámení vážně, změňte si znovu použitá hesla a sledujte účty navázané na tuto organizaci.

Martinův případ bude pravděpodobně po léta citován jako výstražný příklad v oboru ransomwarových vyjednavačů. Pro všechny ostatní je užitečným připomenutím, že důvěra v krizi se musí získat a ověřit, nikoli předpokládat.