En betroet insider vendte sig mod sine egne klienter
Når en virksomhed rammes af ransomware, tilkalder den typisk en forhandler, en person hvis opgave er at kommunikere med angriberne, vurdere situationen og forsøge at begrænse skaden. Det forhold afhænger fuldstændigt af tillid. En tidligere forhandler hos incident response-virksomheden DigitalMint har netop vist, hvad der sker, når den tillid brydes.
Angelo Martino, 41, blev idømt 70 måneders føderalt fængsel for at konspirere med ransomware-gruppen BlackCat (også kendt som ALPHV), mens han arbejdede som forhandler, der angiveligt repræsenterede ofrenes interesser. I stedet for udelukkende at forsvare sine klienter brugte Martino sin position til at sende information tilbage til de kriminelle, som hans klienter forsøgte at afværge, ifølge rapportering fra Help Net Security. Sagen, der er beskrevet yderligere i vores tidligere dækning af DigitalMint-forhandlerens dom på 70 måneder, fremhæver en trussel, som de fleste ransomware-ofre aldrig tænker på: den person, der er hyret til at beskytte dem.
Hvorfor ransomware-forhandlere besidder så mange følsomme data
Ransomware-forhandlere indtager en enestående privilegeret position. For at udføre deres job effektivt har de typisk brug for adgang til detaljer, som de fleste medarbejdere i en offerorganisation aldrig ser: omfanget af bruddet, hvilke data der blev stjålet, hvor meget cyberforsikring virksomheden har, og hvor meget virksomheden realistisk set er villig eller i stand til at betale. Den information er guld værd for en angriber. At kende et offers forsikringsloft giver for eksempel en ransomware-gruppe mulighed for at tilpasse sit løsesumkrav for at presse den maksimalt mulige betaling.
Det er netop det, der gør Martino-sagen bemærkelsesværdig fra et privatlivsperspektiv. Det var ikke en ekstern hacker, der brød ind i en virksomheds systemer. Det var en insider, en person der specifikt blev tilkaldt på grund af den følsomme adgang, hans rolle krævede, og som angiveligt brugte denne adgang mod de mennesker, der hyrede ham. Incident response- og forhandlingsfirmaer eksisterer, fordi de fleste organisationer ikke har de specialiserede kompetencer til at håndtere en ransomware-krise internt. Denne afhængighed af eksterne eksperter er fornuftig og ofte nødvendig, men den betyder også, at ofrene udstrækker tillid til en tredjepart med minimal mulighed for uafhængigt at kontrollere, om tilliden er berettiget.
Det bredere ransomware-økosystem tvinger allerede ofre til at foretage svære privatlivsafvejninger. At betale en løsesum garanterer ikke, at stjålne data bliver slettet, og at forhandle i god tro forudsætter, at den anden part – og alle, der rådgiver dig – også handler i god tro. En sag som denne underminerer den antagelse på en måde, der kan gøre ofre mere tøvende med at give fuld information til de professionelle, der skal hjælpe dem, hvilket potentielt kan forsinke indsatsen i det øjeblik, det betyder mest.
Hvad det betyder for dig
De fleste læsere vil aldrig personligt hyre en ransomware-forhandler, men den underliggende lære gælder bredt: tredjepartsleverandører med adgang til dine følsomme data er kun så pålidelige som det svageste led i leverandørens organisation. Uanset om det er et advokatfirma, en incident response-leverandør, en cloud-udbyder eller et hvilket som helst firma, der håndterer dine personlige eller finansielle oplysninger, afhænger sikkerheden i dette forhold af interne kontroller, du ikke kan se udefra.
For virksomheder er denne sag en påmindelse om at stille kritiske spørgsmål før og under et ransomware-angreb. Hvem i forhandlingsfirmaet har adgang til forsikringsoplysninger og betalingsbeføjelser? Er der interne kontroller, der forhindrer en enkelt medarbejder i at kommunikere direkte med trusselsaktører uden opsyn? Bliver samtaler logget og gennemgået? Det er ikke spørgsmål, de fleste virksomheder tænker på at stille midt i en krise, men de bør være en del af due diligence, før et brud nogensinde sker, ikke efter.
For enkeltpersoner er budskabet mere indirekte, men stadig relevant. Når en virksomhed, du handler med, rammes af et ransomware-angreb, ligger håndteringen af hændelsen, herunder hvem der har adgang til dine kompromitterede data under forhandlingerne, stort set uden for din kontrol. Det er endnu en grund til i første omgang at begrænse, hvor mange følsomme personoplysninger du deler med nogen enkelt organisation, og til at bruge værktøjer som adgangskodeadministratorer og multifaktorautentifikation, så et enkelt brud ikke kan sprede sig til bredere kontokompromittering.
Gode råd til at være på forkant med insiderrisici
Denne dom sender et klart signal om, at insiderforræderi under et ransomware-respons har alvorlige juridiske konsekvenser, men forebyggelse betyder mere end straf bagefter. Hvis din organisation arbejder med incident response- eller forhandlingsfirmaer, så insister på dokumenterede adgangskontroller, uafhængigt tilsyn med forhandlinger og klar kontraktlig ansvarlighed. Hvis du som enkeltperson er berørt af et brud hos en virksomhed, du har tillid til, så tag meddelelser alvorligt, skift genbrugte adgangskoder, og overvåg konti, der er knyttet til den pågældende organisation.
Martino-sagen vil sandsynligvis blive trukket frem i årevis som et advarende eksempel inden for ransomware-forhandlerområdet. For alle andre er den en nyttig påmindelse om, at tillid i en krise skal fortjenes og verificeres – ikke antages.
