Zatčení známého ransomware vyjednavače, o kterém informoval Dark Reading, vyvolalo nepříjemnou otázku pro každou organizaci, která někdy musela plánovat reakci na incident: co se stane, když člověk, kterého najmete, aby jednal s útočníky, pracuje pro druhou stranu? Tento případ je ostrou připomínkou toho, že prověřování vnitřních hrozeb u ransomware vyjednavačů patří do každého plánu reakce na incident, nejen k technickým kontrolám kolem něj.

Zdrojový článek rámuje toto poučení jako potřebu silnějšího dohledu nad dodavatelskými programy. Tento příspěvek se zabývá tím, jak vyjednávání funguje, co zatčení odhaluje a co mohou malé podniky a uživatelé dbající na soukromí udělat.

Jak ransomware vydírání a vyjednávání skutečně fungují

Když je společnost zasažena ransomwarem, jeden z prvních telefonátů často míří k profesionálnímu vyjednavači. Jeho úkolem je komunikovat s útočníky, posoudit situaci a pokusit se snížit škody. Působí jako nárazník mezi panikařícími oběťmi a zločinci, kteří mohou požadovat platbu za obnovení systémů nebo za to, že nechají ukradená data v soukromí.

Toto uspořádání funguje pouze tehdy, pokud oběť prostředníkovi plně důvěřuje. Vyjednavač vidí požadavek na výkupné, dozví se, jaká data byla odcizena, a často rozumí tomu, kolik si oběť může dovolit zaplatit a jak naléhavě potřebuje systémy zpět. Oběti obvykle mají jen malou možnost cokoli z toho nezávisle ověřit. Jsou v krizi, nemají čas a spoléhají na odbornost vyjednavače.

Vydírání je také stále obtížnější zvládat. Globální průzkum, o kterém informoval The Register, zjistil, že 37 % ransomware útoků nyní zahrnuje osobní hrozby, ať už psychologické, nebo fyzické. Jak tlak na oběti roste, roste i jejich závislost na lidech, kteří je vedou.

Co zatčení vyjednavače odhaluje o vnitřním riziku

Většina bezpečnostního plánování se soustředí na vnější útočníky a v menší míře na zaměstnance. Na dodavatele třetích stran se často pohlíží jako na důvěryhodné automaticky, zejména na specialisty přizvané během nouze. Zatčení ukazuje slabinu tohoto předpokladu. Prostředník s přístupem k citlivým vyjednáváním zaujímá pozici enormní páky, a pokud se jeho zájmy rozcházejí se zájmy klienta, klient se to možná nikdy nedozví.

To není čistě hypotetická obava. Související zpravodajství na vpn.social podrobně popisuje, jak bývalý vyjednavač DigitalMint dostal 70 měsíců za dohodu s BlackCat, a samostatná zpráva pokrývá, jak vyjednavač Martino byl odsouzen k 70 měsícům za vazby na BlackCat. Tyto texty pokrývají konkrétní podrobnosti případu a zdůrazňují širší pointu: vztah s vyjednavačem závisí na důvěře, která je jen zřídka auditována.

Poučení ze zpravodajství Dark Reading není to, že všichni vyjednavači jsou podezřelí. Je to to, že dodavatel s tolika přístupy si zaslouží stejnou prověrku jako jakýkoli jiný vysoce rizikový insider.

Čemu jsou oběti a jejich data vystaveny, když je dodavatel kompromitován

Pokud je vyjednavač nebo jiný dodavatel reakce kompromitován nebo jedná proti klientovi, expozice může přesáhnout samotné výkupné. Na základě role, kterou vyjednavač hraje, patří mezi oblasti obav:

  • Vyjednávací strategie: rozpočet oběti, termíny a ochota zaplatit jsou všechny viditelné pro prostředníka.
  • Podrobnosti o ukradených datech: vyjednavači se obvykle dozví, co bylo odcizeno, což je důležité pro každého, jehož osobní údaje byly v těchto souborech.
  • Rozhodování: rady, zda zaplatit, odložit nebo zatlačit, formují výsledek pro společnost i pro postižené lidi.
  • Komunikace: každá zpráva útočníkům a od nich prochází přes vyjednavače.

Pro jednotlivce je riziko nepřímé, ale reálné. Zákazníci, pacienti a zaměstnanci, jejichž data se nacházejí v napadené organizaci, nemají žádný vliv na to, který dodavatel je vybrán, přesto nesou důsledky, pokud se tato volba ukáže jako špatná.

Jak prověřit dodavatele reakce na incidenty, než je budete potřebovat

Nejlepší čas na vyhodnocení vyjednavače nebo firmy pro reakci na incidenty je před útokem, kdy můžete klidně klást otázky. Zdrojový článek volá po silnějším dohledu nad dodavatelskými programy a tyto kroky jsou praktickým způsobem, jak tuto myšlenku aplikovat. Jsou obecnou dobrou praxí, nikoli požadavky vyplývajícími z případu.

  1. Vyberte si dodavatele předem. Výběr firmy pod tlakem nenechává prostor pro due diligence. Sestavte prověřený seznam kandidátů jako součást svého plánu reakce na incident.
  2. Ptejte se na interní kontroly. Jak firma prověřuje vlastní zaměstnance? Kdo má přístup ke klientským vyjednáváním a je tento přístup zaznamenáván a kontrolován?
  3. Dejte očekávání písemně. Smlouvy by měly pokrývat důvěrnost, střety zájmů a zveřejnění jakýchkoli vztahů s hrozbovými aktéry nebo jinými stranami.
  4. Nechte na rozhodnutí dohlížet druhou osobu. Ujistěte se, že vaše vlastní vedení, právní poradci nebo pojistitel kontrolují hlavní rozhodnutí, místo aby byla ponechána jedné osobě.
  5. Omezte sdílení dat. Poskytněte dodavatelům jen to, co potřebují, a veďte záznamy o tom, co obdrželi.
  6. Pravidelně vztah revidujte. Považujte dodavatele reakce za součást svého programu řízení rizik třetích stran s pravidelnými kontrolami namísto jednorázového schválení.

Co to znamená pro vás

Pokud vedete malý podnik, možná nemáte specializovaný bezpečnostní tým, což činí důvěru v dodavatele ještě důležitější. Zeptejte se svého kybernetického pojistitele nebo poskytovatele IT, s kterými firmami reakce spolupracují, a zjistěte, jak jsou tyto firmy kontrolovány. Několik otázek položených nyní stojí mnohem méně než špatné rozhodnutí učiněné uprostřed krize.

Pokud jste jednotlivec, praktickým krokem je omezit, co o vás organizace uchovávají. Sdílejte pouze data, která služba skutečně potřebuje, používejte jedinečná hesla a vícefaktorovou autentizaci a sledujte oznámení o únicích, abyste mohli rychle jednat, pokud jsou vaše informace odhaleny. Nemůžete prověřit dodavatele reakce na incidenty nějaké společnosti, ale můžete snížit škody, pokud se něco pokazí.

Klíčové poznatky

Zatčení známého ransomware vyjednavače je připomínkou toho, že prostředníci mohou být vnitřním rizikem a že prověřování vnitřních hrozeb u ransomware vyjednavačů by mělo být součástí vašeho plánu připravenosti vedle záloh a záplatování. Vyberte dodavatele před krizí, ptejte se na tvrdé otázky ohledně jejich kontrol a udržujte nezávislý dohled nad hlavními rozhodnutími.

Pro konkrétní podrobnosti případu si přečtěte naše zpravodajství o odsouzeném bývalém vyjednavači DigitalMint. Chcete-li vidět, proč je důvěra v dodavatele ještě důležitější, jak vydírání eskaluje, prostudujte si průzkum o osobních hrozbách v ransomware útocích.