Důvěryhodný vyjednavač pracoval pro útočníky

Když firmu zasáhne ransomware, jedním z prvních telefonátů je často hovor profesionálnímu vyjednavači – někomu, kdo je najat, aby srazil výši výkupného, získal čas a fungoval jako nárazník mezi vyděšenými manažery a kyberzločinci. Tento systém stojí zcela na důvěře. Nedávný federální rozsudek ukazuje, co se stane, když je tato důvěra narušena zevnitř.

Vyjednavač ransomwaru byl odsouzen k 70 měsícům federálního vězení poté, co žalobci zjistili, že tajně spolupracoval s ransomwarovou skupinou BlackCat (známou také jako ALPHV) a zároveň tvrdil, že zastupuje oběti. Místo aby chránil společnosti, které si ho najaly, údajně předával útočníkům citlivé informace, včetně podrobností o pojistném krytí klientů a limitech plateb. Tím poskytl zločincům páku, aby požadovali více peněz a účinněji vyvíjeli tlak. V rámci trestu také propadá kryptoměna spojená s tímto podvodem.

Případ identifikoval nejméně pět poškozených organizací, včetně výrobce zdravotnických prostředků na Floridě, který původně čelil požadavku na výkupné ve výši 10 milionů dolarů, než nakonec zaplatil přibližně 1,2 milionu dolarů, farmaceutické společnosti v Marylandu a lékařské ordinace. Celý rozsah podvodu se údajně prolínal i s boji mezi konkurenčními ransomwarovými gangy, přičemž jedna skupina vyhrožovala odhalením operací druhé – připomínka, že ani zločinecké ekosystémy nejsou imunní vůči vnitřním konfliktům a zradě.

Jak tento podvod podrýval oběti

Vyjednavači ransomwaru zastávají mimořádně citlivou pozici. Aby mohli vykonávat svou práci, obvykle potřebují přístup k informacím, které by většina firem nikdy nepředala někomu zvenčí: kolik je k dispozici hotovosti, co přesně kryje kybernetické pojištění, interní termíny a jak zoufale se vedení snaží situaci vyřešit v tichosti. Tyto informace mají zůstat důvěrné a smějí být použity pouze k ochraně zájmů klienta během vyjednávání.

Když vyjednavač tyto informace předá útočníkům, je celý proces reakce na incident znehodnocen ještě dříve, než vůbec začne. Oběti věří, že vyjednávají z pozice informované strategie, zatímco ve skutečnosti druhá strana už zná jejich finanční strop. Tato nerovnováha pravděpodobně vysvětluje, proč požadavky v těchto případech eskalovaly tak agresivně a proč původní částka požadovaná po výrobci zdravotnických prostředků byla osmkrát vyšší než to, co nakonec zaplatil.

Nejde o ojedinělý incident. Jak jsme informovali v článku o floridském vyjednavači ransomwaru odsouzeném v jiném americkém případu vydírání, orgány činné v trestním řízení nyní identifikovaly několik vyjednavačů napojených na stejnou vyděračskou síť spojenou s BlackCat. Tento vzorec naznačuje, že nešlo o jednorázovou zradu, ale o záměrnou, alespoň částečně organizovanou snahu zneužít odvětví reakce na incidenty zevnitř.

Důsledky pro ochranu soukromí obětí úniku dat

Dopady na soukromí sahají daleko za samotné částky výkupného. Výrobci zdravotnických prostředků, farmaceutické firmy a lékařské ordinace běžně uchovávají citlivá data pacientů a zdravotní údaje. Když vyjednavač tajně pracuje proti zájmům oběti, vyvolává to skutečné otázky, jaké další citlivé informace mohly být odhaleny, zneužity nebo použity jako další páka během vydírání. Společnosti působící ve zdravotnictví a dalších regulovaných odvětvích již nyní musí chránit data pacientů podle přísných povinností v oblasti soukromí a zrada insidera během ransomwarového incidentu komplikuje každé následné rozhodnutí, včetně toho, zda a jak informovat dotčené osoby.

Zároveň to upozorňuje na slepé místo, které mnoho organizací zvažuje až ve chvíli, kdy je pozdě: poskytovatelé reakce na incidenty, včetně vyjednavačů, forenzních firem a dokonce i právních poradců přizvaných během úniku dat, jsou málokdy prověřováni se stejnou důkladností, jaká se uplatňuje u jiných rizik třetích stran. Firma může provádět rozsáhlou due diligence u poskytovatele cloudových služeb nebo softwarového dodavatele, ale během krize si najme vyjednavače převážně na základě reputace nebo naléhavosti.

Co to znamená pro vás

Pokud vaše organizace někdy bude potřebovat najmout vyjednavače ransomwaru nebo firmu pro reakci na incidenty, tento případ je důvodem zpomalit, nepanikařit. Ověřujte si reference nezávisle, nespoléhejte se pouze na doporučení od své pojišťovny nebo jediné kontaktní osoby. Ptejte se přímo na to, jak jsou informace o klientech zpracovávány, uchovávány a sdíleny, a trvejte na dokumentovaných hranicích toho, co vyjednavač smí a nesmí prozradit. Pokud vaše kybernetické pojištění vyžaduje konkrétní seznam dodavatelů, projděte si ho proaktivně, ještě před útokem, a ne až během aktivního incidentu, kdy je vaše vyjednávací pozice i úsudek oslabeny.

Pro jednotlivce je ponaučení jednodušší, ale stále důležité: pokud obdržíte oznámení, že poskytovatel zdravotní péče, lékárna nebo výrobce zdravotnických prostředků, s nímž jste byli v kontaktu, zažil ransomwarový incident, berte oznámení vážně, i když společnost tvrdí, že expozice dat byla omezená. Případy, jako je tento, ukazují, že interní zpracování úniku může být mnohem chaotičtější, než naznačují veřejná prohlášení.

Shrnutí

Tento rozsudek je vzácným, konkrétním příkladem toho, jak role vyjednavače ransomwaru, postavená zcela na důvěrnosti a důvěře, může být zneužita proti samotným organizacím, které má chránit. Prověřujte své dodavatele reakce na incidenty dříve, než udeří krize, zakotvěte do každé smlouvy jasné hranice pro sdílení informací a pamatujte, že páka vyjednavače ransomwaru závisí na tom, aby tajemství zůstala tajná na vaší straně, nikoli na straně útočníka.