En ransomware-forhandler skal være den person i rummet, der kæmper for offeret. Den tillid blev knust i sagen om Angelo Martino, en tidligere forhandler hos incident response-virksomheden DigitalMint, som blev idømt 70 måneders føderalt fængsel for i hemmelighed at videregive fortrolige klientoplysninger til ransomware-banden BlackCat – præcis de angribere, han var hyret til at forhandle imod.

Dommen afslutter et af de mere foruroligende kapitler i nyere ransomware-historie: en sag, hvor den formodede forsvarer arbejdede på begge sider af forhandlingsbordet.

En betroet insider bliver forræder

Når en virksomhed rammes af ransomware, er en af de første opkald ofte til en professionel forhandler – efter politi og juridisk rådgivning. Disse specialister hentes netop ind, fordi ofrene er panikslagne, teknisk overvældede og desperate for at undgå yderligere skade. En god forhandler skal købe tid, presse oppustede krav tilbage og i sidste ende få løsesummen ned på et niveau, som offeret kan overleve at betale, hvis der overhovedet betales.

Martinos rolle hos DigitalMint placerede ham i præcis den relation. Ifølge den underliggende rapportering brugte han sin adgang til klientoplysninger – herunder information om, hvilket pres ofrene var under, og hvad de potentielt var villige til at betale – til at hjælpe BlackCats operatører med at presse større beløb ud i stedet for mindre. Reelt vendte han forhandlerens job på hovedet og arbejdede på at maksimere skaden for de klienter, der netop havde hyret ham til beskyttelse.

Som vpn.social tidligere rapporterede, beroede denne ordning helt på antagelsen om, at en forhandlers loyalitet kun går én vej. Martinos handlinger brød den antagelse på en måde, der har rystet incident response-branchen.

Sådan fungerede dobbeltagent-planen

Mekanikken i planen var enkel, men skadelig. Ved at videregive fortrolige detaljer, forsikringsoplysninger, forhandlingsstrategi eller hvor meget en offerorganisation realistisk havde råd til, gav Martino BlackCats angribere en urimelig fordel i hver eneste forhandling, han rørte ved. I stedet for at løsesumskravene skrumpede under hans formodede fortalervirksomhed, blev de i stilhed konstrueret til at vokse.

Dette var heller ikke en enkeltstående hændelse. Relateret dækning af sagen, herunder rapportering om den bredere BlackCat-forhandlerplan, bemærker, at Martino ikke var den eneste forhandler, der var impliceret i denne form for adfærd knyttet til den samme ransomware-operation. En separat sag om en Florida-baseret forhandler dømt i en relateret afpresningssammensværgelse understreger, at dette ikke var et engangstilfælde af dårlig dømmekraft fra en enkelt skurk, men et mønster, der udnyttede den strukturelle tillid, der er indbygget i incident response-branchen.

Straffen på 70 måneder afspejler den alvor, hvormed de føderale anklagere behandlede forræderiet: Det var ikke simpel uagtsomhed eller sikkerhedssvigt – det var en insider, der bevidst arbejdede mod de mennesker, der havde lagt deres tillid og deres følsomme data i hans hænder.

Hvad dette betyder for dig

For de fleste mennesker kan denne sag virke fjern fra dagligdagen, men den berører noget, alle bør bekymre sig om: Hvor megen tillid vi lægger i de mellemmænd, der håndterer vores mest følsomme oplysninger under en krise. Ransomware-forhandlere sidder i en enestående privilegeret position. De ser interne økonomiske detaljer, sikkerhedshuller og kommunikation, som en offerorganisation aldrig ville have offentliggjort.

Når den tillid misbruges, rækker konsekvenserne ud over de umiddelbare offervirksomheder. Medarbejdere, kunder og alle, hvis personoplysninger lå i de kompromitterede systemer, kan ende med at betale prisen to gange: én gang gennem det oprindelige ransomware-angreb og igen gennem en forhandlingsproces, der i hemmelighed arbejdede imod dem.

Denne sag er en påmindelse om, at privatliv og sikkerhed i en ransomware-hændelse ikke ophører, i det øjeblik en specialist er hyret. Tilsyn, verifikation og uafhængig gennemgang af forhandlerens adfærd betyder lige så meget som den indledende reaktion på selve angrebet.

Handlingsorienterede takeaways

Hvis din organisation nogensinde befinder sig i en forhandling med ransomware-aktører, eller hvis du blot ønsker at forstå, hvordan disse hændelser udfolder sig, er der et par lærepenge, der skiller sig ud fra Martino-sagen:

  • Undersøg incident response-leverandører omhyggeligt, og spørg, hvordan de overvåger deres egne medarbejdere for interessekonflikter under aktive forhandlinger.
  • Kræv gennemsigtighed omkring, hvem der har adgang til følsomme forhandlingsdetaljer, herunder økonomiske grænser og forsikringsoplysninger.
  • Overvej uafhængigt tilsyn eller en ekstra kontaktperson, når store løsesumskrav er involveret, i stedet for udelukkende at stole på én forhandlers gengivelse af processen.
  • Hold dig informeret om, hvordan ransomware-forhandling faktisk fungerer, da forståelse af de incitamenter, der er på spil, hjælper organisationer med at stille bedre spørgsmål før – ikke efter – et angreb sker.

Dommen over en ransomware-forhandler for at forråde sine egne klienter er en ekstrem sag, men den understreger en enkel sandhed: Tillid i en krise skal gøres fortjent og verificeres – ikke antages.