En betroet insider blev medskyldig

Når en virksomhed bliver offer for ransomware, henvender den sig ofte til en specialiseret forhandler for at håndtere den følsomme samtale med høj risiko med angriberne. Det er præcis den rolle, som Angelo Martino, 41, spillede hos DigitalMint, et firma der hjælper organisationer med at navigere i ransomware-hændelser og forhandle betalinger på deres vegne. Martino blev hentet ind under aktive sager og sad på den side af bordet, der skulle beskytte ofrene.

I stedet arbejdede Martino ifølge retsdokumenterne i hemmelighed sammen med tilknyttede til BlackCat-ransomwaregruppen (også kendt som ALPHV), en af de mere berygtede afpresningsoperationer i de senere år. I stedet for at varetage sine klienters interesser fodrede han angiveligt angriberne med fortrolige oplysninger fra de forhandlinger, han skulle føre på ofrenes vegne. Denne insiderviden hjalp angiveligt banden med at afpresse større beløb, og rapporter tyder på, at planen bidrog til, at ofreorganisationer blev presset for omkring 75 millioner dollars i flere sager. Martino erklærede sig skyldig og blev idømt 70 måneders fængsel i en føderal anstalt.

Hvordan planen undergravede ransomware-forhandling

Ransomware-forhandling eksisterer, fordi virksomheder, der rammes af et angreb, ofte mangler den specialiserede ekspertise til at kommunikere med kriminelle grupper, vurdere troværdigheden af truslerne eller afgøre, om det overhovedet er tilrådeligt at betale en løsesum. Firmaer som DigitalMint skal fungere som en firewall og bruge deres erfaring til at presse kravene ned, bekræfte muligheden for datagendannelse og forhindre, at ofrene bliver udnyttet to gange.

Martinos sag vender denne model på hovedet. Ved at lække følsomme detaljer fra igangværende forhandlinger – herunder interne klientoplysninger, økonomiske smertegrænser og ofrets forhandlingsposition – gav han i praksis BlackCat-tilknyttede den manual, de havde brug for, for at presse de maksimale udbetalinger igennem. Det er et dybt tillidsbrud, ikke kun mellem Martino og hans arbejdsgiver, men mellem arbejdsgiveren og enhver klient, der gik ud fra, at deres kriseberedskabsteam udelukkende arbejdede for dem.

Denne form for intern medvirken er særligt skadelig, fordi ransomware-ofre allerede befinder sig i en sårbar position. De presses ofte til at træffe hurtige beslutninger om følsomme data, operationel nedetid og regulatorisk eksponering. Sager som Instructure betalte løsesum efter Canvas-bruddet viser, hvordan organisationer nogle gange konkluderer, at betaling er den mindst skadelige mulighed. Når den forhandler, der håndterer denne beslutning, har en økonomisk interesse i at arbejde imod offeret, kompromitteres hele den beregning, der bruges til at retfærdiggøre en betaling.

Hvorfor denne sag rejser større bekymringer om privatlivets fred for virksomheder

Privatlivsimplikationerne her rækker langt ud over de umiddelbare økonomiske tab. Ransomware-forhandlinger indebærer typisk deling af meget følsomt materiale: omfanget af stjålne data, interne sikkerhedsvurderinger, kommunikation på direktionsniveau og detaljer om, hvad virksomheden er villig til at betale. Ofre deler disse oplysninger ud fra en antagelse om, at de forbliver i en stramt kontrolleret kreds af betroede hjælpere.

Martinos handlinger viser, at selve beredskabsøkosystemet kan blive et svaghedspunkt. Selv organisationer, der gør alt rigtigt efter et brud – hyrer velrenommerede firmaer, følger anbefalede protokoller og samarbejder med retshåndhævende myndigheder – kan stadig få deres data og forhandlingsposition undermineret indefra. Dette spejler de pressionsmetoder, der ses i andre højtprofilerede afpresningskampagner, såsom de optrappende taktikker, der blev brugt, da ShinyHunters vandaliserede skoleportaler under deres Canvas-løsesums-kampagne, hvor angriberne støttede sig til offentlig ydmygelse og datamæssig magt for at fremtvinge en løsning.

Hvad det betyder for dig

Hvis din organisation nogensinde befinder sig i en forhandling med en ransomware-gruppe, er denne sag en påmindelse om, at udvælgelsen af leverandører fortjener lige så meget kontrol som dine cybersikkerhedsværktøjer. Spørg potentielle forhandlingsfirmaer om interne kontroller, medarbejdervetting, og hvordan klientdata opdeles og overvåges under en aktiv sag. Bed om klarhed over, hvem der har adgang til forhandlingsdetaljer, og om nogen enkeltperson har ukontrolleret myndighed over kommunikationen med angriberne.

For enkeltpersoner og mindre virksomheder uden ressourcer til omfattende leverandør-due diligence er konklusionen bredere: minimér de følsomme data, der overhovedet kan blive eksponeret. Stærke backupprocedurer, netværkssegmentering og begrænsning af mængden af personlige eller økonomiske data, der opbevares i let tilgængelige systemer, reducerer alt sammen den magt, en ransomware-gruppe – eller en kompromitteret insider – kan udøve over jer.

Vigtige pointer

  • Vurder beredskabs- og forhandlingsfirmaer med samme grundighed, som du ville anvende over for enhver leverandør, der håndterer følsomme data.
  • Spørg, hvordan forhandlingsfirmaer internt overvåger og reviderer medarbejderes adgang under aktive ransomware-sager.
  • Reducér mængden af følsomme data, der opbevares i systemer, der kan kompromitteres, da mindre eksponering betyder mindre magt for angribere eller insidere.
  • Behandl ransomware-forhandling som en beslutning, der kræver sin egen kontrol, og ikke som en lukket boks, der håndteres fuldstændigt af en tredjepart.

Martino-sagen er et sjældent, men alvorligt eksempel på insider-forræderi inden for ransomware-beredskabsbranchen. Det betyder ikke, at forhandlingsfirmaer generelt ikke kan stoles på, men det understreger, at tillid bør verificeres, ikke antages, især når en virksomheds mest følsomme bruddetaljer står på spil.