En betroet forhandler arbejdede for angriberne
Når en virksomhed rammes af ransomware, er et af de første opkald ofte til en professionel forhandler, en der hyres til at nedbringe løsepengekravet, købe tid og fungere som en buffer mellem panikslagne ledere og kriminelle hackere. Det system bygger helt og holdent på tillid. En nylig føderal domsafsigelse viser, hvad der sker, når den tillid brydes indefra.
En ransomware-forhandler er blevet idømt 70 måneders føderalt fængsel, efter at anklagemyndigheden fandt, at han i hemmelighed havde konspireret med ransomware-gruppen BlackCat (også kendt som ALPHV), samtidig med at han påstod at repræsentere ofre. I stedet for at beskytte de virksomheder, der hyrede ham, fodrede han angiveligt angriberne med følsomme detaljer, herunder oplysninger om kundernes forsikringsdækning og betalingslofter, hvilket gav de kriminelle løftestang til at kræve flere penge og lægge pres mere effektivt. Som led i dommen konfiskeres også kryptovaluta knyttet til planen.
Sagen identificerede mindst fem offerorganisationer, herunder et medicinsk udstyrsfirma i Florida, der oprindeligt blev ramt af et løsepengekrav på 10 millioner dollars, før det til sidst betalte omkring 1,2 millioner dollars, et medicinalfirma i Maryland og en lægepraksis. Planens fulde omfang krydsede ifølge rapporter også interne stridigheder mellem rivaliserende ransomware-bander, hvor én gruppe truede med at afsløre den andens operationer – en påmindelse om, at selv kriminelle økosystemer ikke er immune over for interne konflikter og forræderi.
Hvordan planen underminerede ofrene
Ransomware-forhandlere indtager en enestående følsom position. For at kunne udføre deres arbejde har de typisk brug for adgang til oplysninger, de fleste virksomheder aldrig ville udlevere til en udefrakommende: hvor mange kontanter der er til rådighed, hvad cyberforsikringen rent faktisk dækker, interne tidsfrister, og hvor desperat ledelsen er efter at løse situationen i stilhed. De oplysninger skal forblive fortrolige og udelukkende bruges til at beskytte kundens interesser under forhandlingen.
Når en forhandler i stedet videregiver disse oplysninger til angriberne, er hele incident response-processen kompromitteret, før den overhovedet begynder. Ofrene tror, de forhandler fra en position med informeret strategi, mens modparten i virkeligheden allerede kender deres økonomiske loft. Denne ubalance forklarer sandsynligvis, hvorfor kravene i disse sager eskalerede så aggressivt, og hvorfor det medicinske udstyrsfirmas oprindelige krav var otte gange højere end det, det endte med at betale.
Dette er ikke en enkeltstående hændelse. Som vi rapporterede i vores dækning af en Florida ransomware-forhandler dømt i en separat amerikansk afpresningssag, har ordenshåndhævelsen nu identificeret flere forhandlere med tilknytning til det samme BlackCat-forbundne afpresningsnetværk. Mønsteret tyder på, at der ikke var tale om et enkeltstående tillidsbrud, men om en bevidst, i det mindste delvist organiseret indsats for at udnytte incident response-branchen indefra.
Konsekvenser for privatlivets fred for brudofre
Konsekvenserne for privatlivets fred rækker langt ud over selve løsesummens størrelse. Medicinske udstyrsfirmaer, medicinalvirksomheder og lægepraksisser opbevarer rutinemæssigt følsomme patient- og sundhedsdata. Når en forhandler i hemmelighed arbejder imod et offers interesser, rejser det reelle spørgsmål om, hvilke andre følsomme oplysninger der kan være blevet eksponeret, mishandlet eller anvendt som yderligere løftestang under afpresningsprocessen. Virksomheder i sundhedssektoren og andre regulerede brancher er allerede forpligtet til at beskytte patientdata under strenge privatlivskrav, og et insiderforræderi midt i en ransomware-hændelse komplicerer enhver efterfølgende beslutning, herunder om og hvordan berørte personer skal underrettes.
Det peger også på en blind vinkel, mange organisationer først overvejer, når det er for sent: Incident response-leverandører, herunder forhandlere, digitale efterforskningsfirmaer og selv den advokatbistand, der inddrages under et brud, bliver sjældent underkastet den samme kontrol som andre tredjepartsrisici. En virksomhed kan gennemføre omfattende due diligence af en cloud-udbyder eller softwareleverandør, men alligevel hente en forhandler ind under en krise primært på baggrund af omdømme eller uopsættelighed.
Hvad dette betyder for dig
Hvis din organisation nogensinde får brug for at hyre en ransomware-forhandler eller et incident response-firma, er denne sag en grund til at sænke farten, ikke gå i panik. verificér kvalifikationer uafhængigt i stedet for udelukkende at stole på henvisninger fra jeres forsikringsselskab eller en enkelt kontaktperson. Stil direkte spørgsmål om, hvordan klientoplysninger håndteres, opbevares og deles, og insister på dokumenterede grænser for, hvad forhandleren må og ikke må videregive. Hvis jeres cyberforsikringspolice fastsætter en bestemt leverandørliste, bør I gennemgå den proaktivt, inden et angreb finder sted, fremfor at halse afsted under en aktiv hændelse, hvor både løftestang og dømmekraft er svækket.
For enkeltpersoner er konklusionen enklere, men stadig vigtig: Hvis du får besked om, at en sundhedsudbyder, et apotek eller et medicinsk udstyrsfirma, du har haft kontakt med, har oplevet en ransomware-hændelse, så tag beskeden alvorligt, selv hvis firmaet siger, at dataeksponeringen var begrænset. Sager som denne viser, at den interne håndtering af et brud kan være langt mere rodet, end offentlige udtalelser antyder.
Hovedpointer
Denne dom er et sjældent, konkret eksempel på, hvordan ransomware-forhandlerens rolle – der helt og holdent bygger på fortrolighed og tillid – kan gøres til et våben mod netop de organisationer, den skal beskytte. Vurder jeres incident response-leverandører, før en krise rammer, indarbejd klare grænser for informationsdeling i enhver kontrakt, og husk, at en ransomware-forhandlers løftestang afhænger af, at hemmeligheder forbliver hemmelige på jeres side, ikke angriberens.
