Anholdelsen af en velkendt ransomware-forhandler, rapporteret af Dark Reading, har rejst et ubehageligt spørgsmål for enhver organisation, der nogensinde har skullet planlægge for et brud: hvad sker der, når den person, du hyrer til at håndtere angriberne, arbejder for den anden side? Sagen er en skarp påmindelse om, at vurdering af insider-trusler hos ransomware-forhandlere hører til i enhver incident-response-plan, ikke bare i de tekniske kontroller omkring den.
Kildeartiklen rammer ind i lektionen som et behov for stærkere overvågning af leverandørprogrammer. Dette indlæg ser på, hvordan forhandling fungerer, hvad anholdelsen afslører, og hvad små virksomheder og privatpersoner med fokus på privatliv kan gøre ved det.
Hvordan ransomware-afpresning og forhandling faktisk fungerer
Når en virksomhed rammes af ransomware, går et af de første opkald ofte til en professionel forhandler. Deres job er at kommunikere med angriberne, vurdere situationen og forsøge at reducere skaden. De fungerer som en buffer mellem panikslagne ofre og kriminelle, som måske kræver betaling for at genoprette systemer eller for at holde stjålne data private.
Den ordning fungerer kun, hvis offeret stoler fuldstændigt på mellemmanden. Forhandleren ser løsepengekravet, får at vide, hvilke data der blev taget, og forstår ofte, hvor meget offeret har råd til at betale, og hvor hurtigt de har brug for systemerne tilbage. Ofre har normalt ringe mulighed for at kontrollere noget af det selvstændigt. De er i krise, har dårlig tid og er afhængige af forhandlerens ekspertise.
Afpresning bliver også sværere at håndtere. En global undersøgelse rapporteret af The Register viste, at 37% af ransomware-angreb nu inkluderer personlige trusler, hvad enten de er psykologiske eller fysiske. Efterhånden som presset på ofrene stiger, stiger deres afhængighed af de personer, der guider dem, også.
Hvad anholdelsen af forhandleren afslører om insider-risiko
Det meste sikkerhedsplanlægning fokuserer på udefrakommende angribere og i mindre grad på medarbejdere. Tredjepartsleverandører behandles ofte som betroede som standard, især specialister, der tilkaldes under en nødsituation. Anholdelsen viser svagheden i den antagelse. En mellemmand med adgang til følsomme forhandlinger har en position med enorm indflydelse, og hvis den persons interesser afviger fra klientens, vil klienten måske aldrig vide det.
Det er ikke en rent hypotetisk bekymring. Relateret dækning på vpn.social beskriver, hvordan en tidligere DigitalMint-forhandler fik 70 måneders fængsel for en BlackCat-aftale, og en separat rapport dækker, hvordan forhandleren Martino blev idømt 70 måneders fængsel for BlackCat-forbindelser. Disse artikler dækker de konkrete sagsdetaljer, og de understreger den bredere pointe: forhandlerrelationen afhænger af en tillid, der sjældent revideres.
Læren fra Dark Readings rapportering er ikke, at alle forhandlere er mistænkelige. Det er, at en leverandør med så meget adgang fortjener samme granskning som enhver anden højrisiko-insider.
Hvad ofre og deres data udsættes for, når en leverandør kompromitteres
Hvis en forhandler eller anden responsleverandør kompromitteres eller handler imod klienten, kan eksponeringen strække sig langt ud over løsepengebeløbet selv. Baseret på den rolle en forhandler spiller, omfatter bekymringsområderne:
- Forhandlingsstrategi: offerets budget, deadlines og villighed til at betale er alle synlige for mellemmanden.
- Detaljer om de stjålne data: forhandlere får typisk at vide, hvad der blev taget, hvilket er vigtigt for alle, hvis personlige oplysninger var i disse filer.
- Beslutningstagning: rådgivning om, hvorvidt man skal betale, udsætte eller presse tilbage, former resultatet for virksomheden og for de berørte personer.
- Kommunikation: hver meddelelse til og fra angriberne passerer gennem forhandleren.
For enkeltpersoner er risikoen indirekte, men reel. Kunder, patienter og medarbejdere, hvis data ligger i en kompromitteret organisation, har ingen indflydelse på, hvilken leverandør der vælges, men de bærer konsekvenserne, hvis valget går galt.
Sådan vurderer du breach-response-leverandører, før du får brug for dem
Det bedste tidspunkt at evaluere en forhandler eller incident-response-virksomhed på er før et angreb, når du roligt kan stille spørgsmål. Kildeartiklen opfordrer til stærkere overvågning af leverandørprogrammer, og disse trin er en praktisk måde at anvende den idé på. De er generel god praksis snarere end krav hentet fra sagen.
- Vælg dine leverandører på forhånd. At vælge en virksomhed under pres efterlader ingen plads til due diligence. Byg en godkendt shortliste som en del af din incident response-plan.
- Spørg om interne kontroller. Hvordan screener virksomheden sine egne medarbejdere? Hvem kan få adgang til klientforhandlinger, og logges og gennemgås den adgang?
- Sæt forventningerne på skrift. Kontrakter bør dække fortrolighed, interessekonflikter og offentliggørelse af eventuelle relationer til trusselsaktører eller andre parter.
- Hold et ekstra sæt øjne på beslutningerne. Sørg for, at din egen ledelse, juridiske rådgiver eller forsikringsselskab gennemgår større valg i stedet for at overlade dem til én person.
- Begræns datadeling. Giv kun leverandører det, de har brug for, og før registre over, hvad de modtog.
- Gennemgå relationen regelmæssigt. Behandl responsleverandører som en del af dit tredjepartsrisikoprogram med periodiske kontroller i stedet for en engangsgodkendelse.
Hvad dette betyder for dig
Hvis du driver en lille virksomhed, har du måske ikke et dedikeret sikkerhedsteam, hvilket gør leverandørtillid endnu vigtigere. Spørg dit cyberforsikringsselskab eller din IT-udbyder, hvilke responsvirksomheder de arbejder med, og find ud af, hvordan disse virksomheder føres tilsyn med. Et par spørgsmål stillet nu koster langt mindre end en dårlig beslutning truffet midt i en krise.
Hvis du er en enkeltperson, er det praktiske skridt at begrænse, hvad organisationer opbevarer om dig. Del kun de data, en tjeneste genuint har brug for, brug unikke adgangskoder og multifaktorautentificering, og hold øje med brudmeddelelser, så du kan handle hurtigt, hvis dine oplysninger eksponeres. Du kan ikke vurdere en virksomheds incident-response-leverandør, men du kan reducere skaden, hvis noget går galt.
Væsentlige pointer
Anholdelsen af en velkendt ransomware-forhandler er en påmindelse om, at mellemmænd kan udgøre en insider-risiko, og at vurdering af insider-trusler hos ransomware-forhandlere bør stå side om side med backups og patchning i din beredskabsplan. Vælg leverandører før en krise, stil svære spørgsmål om deres kontroller, og bevar uafhængigt tilsyn med større beslutninger.
For konkrete sagsdetaljer kan du læse vores dækning af den idømte tidligere DigitalMint-forhandler. For at se, hvorfor leverandørtillid betyder endnu mere, efterhånden som afpresning eskalerer, kan du gennemgå undersøgelsen om personlige trusler i ransomware-angreb.
