Hvad skete der: Forhandleren der arbejdede for begge sider

Når en virksomhed rammes af ransomware, er et af de første opkald til en forhandler: en specialist, man stoler på sidder mellem et panikslagent offer og en kriminel bande og arbejder på at reducere løsesumskravet eller købe tid til gendannelse. Det forhold afhænger helt og holdent af tillid. Ifølge rapportering fra Malwarebytes brød en sådan forhandler den tillid på den mest skadelige måde. I stedet for at hjælpe ofrene med at skubbe tilbage mod BlackCat-ransomwarebanden, fodrede han i hemmelighed de kriminelle med oplysninger inde fra de forhandlinger, han skulle føre på ofrenes vegne.

Resultatet var et insider-truselsscenarie med en ransomware-forhandler, der kostede ofrene millioner. I stedet for at fungere som en firewall mellem en virksomhed og dens angriber, blev forhandleren reelt en ekstra angriber – én med privilegeret adgang til et offers økonomiske grænser, juridiske strategi og betalingsvilje. Det er omtrent så slemt, som en fejl i incident response kan blive, fordi det forvandler selve den sikkerhedsforanstaltning, organisationer betaler for, til en belastning.

Hvordan ransomware-as-a-service-bander rekrutterer betroede mellemmænd

BlackCat, også kendt som ALPHV, opererer som en ransomware-as-a-service-gruppe (RaaS), hvilket betyder, at den licenserer sin malware og infrastruktur til affilierede, der udfører angrebene og deler overskuddet. Denne forretningsmodel har altid været afhængig af at opbygge netværk af folk, der er villige til at samarbejde for en del af udbyttet – fra initial access brokers, der sælger stjålne legitimationsoplysninger, til affilierede, der implementerer den faktiske krypteringspakke. En kompromitteret eller medskyldig forhandler er blot den næste logiske forlængelse af det netværk: én, der er indlejret i det legitime incident response-økosystem, og som kan dele efterretninger, banden aldrig selv kunne opnå.

Det er netop derfor, sagen rækker ud over BlackCat selv. Ransomware-bander forstår i stigende grad, at det svageste led i en breach-respons ikke altid er en firewall eller en upatchetserver. Det kan være en person – og specifikt en person, offeret har valgt at stole på i det mest stressende øjeblik af en sikkerhedshændelse. Det samme princip om at udnytte tillid og adgang går igen på tværs af ransomware- og dataafpresningslandskabet, herunder i hændelser som ShinyHunters' brud på Europarådets HR-systemer, hvor angribere igen demonstrerede, hvor effektivt kriminelle grupper kan udnytte intern adgang, når de først finder en vej ind.

Hvorfor dette udvider angrebsfladen for breach-ofre

De fleste organisationer tænker på ransomware-risiko i forhold til deres eget netværk: endpoints, servere, backups, medarbejdertræning. Langt færre tænker over den risiko, der introduceres af de leverandører og konsulenter, de bringer ind, efter et angreb allerede er i gang. Men en forhandler – ligesom en forensic investigator eller en breach coach – har ofte adgang til nogle af de mest følsomme oplysninger, en virksomhed besidder under en krise: det løsesumsbeløb, offeret er parat til at betale, hvilke data der faktisk blev stjålet, og hvor desperat organisationen er for at undgå offentlig offentliggørelse.

Når den adgang misbruges, forværres skaden. Ofre mister ikke kun penge til selve løsesummen – de mister også den løftestang, de havde i forhandlingerne, fordi banden allerede kender deres bundlinje, før samtalerne overhovedet begynder. Denne sag er en påmindelse om, at leverandørkæden i incident response fortjener samme grad af kontrol som ethvert andet leverandørforhold, og at tillid i en krise aldrig bør forudsættes, blot fordi nogen har den rigtige stillingsbetegnelse.

Sådan screener du incident respondere og forhandlere, inden krisen rammer

Det bedste tidspunkt at screene en ransomware-forhandler eller et incident response-firma er, før et angreb sker – ikke undervejs, når tidspres gør grundig due diligence næsten umulig. Organisationer kan tage flere konkrete skridt:

  • Bekræft firmaets track record og bed om referencer fra tidligere klienter, der har oplevet lignende hændelser.
  • Spørg, hvordan firmaet screener sine egne medarbejdere, herunder baggrundstjek og interne kontroller for, hvem der kan tilgå forhandlingsdetaljer.
  • Insister på dokumenterede, reviderbare kommunikationslogge under enhver forhandling i stedet for udelukkende at forlade sig på én enkelt kontaktperson.
  • Inddrag ekstern juridisk rådgiver eller en ekstra sikkerhedsrådgiver til uafhængigt at verificere større beslutninger, såsom løsesumsbeløb eller betalingstidspunkt.
  • Opbyg disse leverandørrelationer og kontrakter på forhånd som en del af en incident response-aftale i stedet for at skulle haste med at finde hjælp midt i et brud.

Hvad dette betyder for dig

Hvis din organisation har en beredskabsplan for ransomware, er denne sag en god anledning til at genbesøge, hvem der faktisk står i planen, og hvor godt du kender dem. En insider-trusel fra en ransomware-forhandler er sjælden, men konsekvenserne er så alvorlige, at en beskeden mængde forudgående screening er anstrengelserne værd. Den samme logik gælder for enhver tredjepart med privilegeret adgang under et brud: forensic investigators, juridiske rådgivere og PR-bureauer fortjener samme kontrol, som du ville anvende på en ny softwareleverandør.

Vigtigste pointer

  • Screen incident response- og forhandlingsfirmaer inden en krise, inklusive medarbejderbaggrundstjek og referencer.
  • Kræv dokumenterede, reviderbare logge over alle løsesumsforhandlinger i stedet for at stole på én betroet person.
  • Behandl tredjeparts-respondere som en del af din angrebsflade, ikke kun som dit forsvar.
  • Hold dig orienteret om, hvordan ransomware- og afpresningsgrupper udnytter tillid på alle stadier af et brud – fra initial adgang til den afsluttende forhandling.