Ein Ransomware-Verhandler soll eigentlich die Person im Raum sein, die für das Opfer kämpft. Dieses Vertrauen wurde im Fall von Angelo Martino zerstört, einem ehemaligen Verhandler bei der Incident-Response-Firma DigitalMint, der zu 70 Monaten Bundesgefängnis verurteilt wurde, weil er heimlich vertrauliche Kundeninformationen an die BlackCat-Ransomware-Bande weitergab – genau die Angreifer, gegen die zu verhandeln er beauftragt war.

Die Verurteilung schließt eines der beunruhigenderen Kapitel in der jüngeren Ransomware-Geschichte ab: einen Fall, in dem der vermeintliche Verteidiger beiden Seiten des Verhandlungstisches diente.

Ein vertrauenswürdiger Insider, der zum Verräter wurde

Wenn ein Unternehmen von Ransomware getroffen wird, ist die Beauftragung eines professionellen Verhandlers oft einer der ersten Anrufe nach Strafverfolgungsbehörden und Rechtsberatern. Diese Spezialisten werden genau deshalb hinzugezogen, weil die Opfer in Panik sind, technisch überfordert und verzweifelt versuchen, weiteren Schaden zu vermeiden. Ein guter Verhandler soll Zeit gewinnen, überhöhten Forderungen entgegentreten und die Lösegeldsumme letztlich auf ein Niveau reduzieren, das das Opfer möglicherweise zahlen kann, falls überhaupt eine Zahlung erfolgt.

Martinos Rolle bei DigitalMint brachte ihn genau in dieses Verhältnis. Laut den zugrunde liegenden Berichten nutzte er seinen Zugang zu Kundendetails, einschließlich Informationen über den Druck, unter dem die Opfer standen, und was sie möglicherweise zu zahlen bereit wären, um den Betreibern von BlackCat zu helfen, größere statt kleinere Zahlungen zu erpressen. Im Grunde stellte er die Aufgabe des Verhandlers auf den Kopf und arbeitete darauf hin, den Schaden für genau die Kunden zu maximieren, die ihn zum Schutz beauftragt hatten.

Wie vpn.social bereits berichtete, beruhte diese Vereinbarung vollständig auf der Annahme, dass die Loyalität eines Verhandlers nur in eine Richtung geht. Martinos Verhalten zerstörte diese Annahme auf eine Weise, die die Incident-Response-Branche erschüttert hat.

Wie das Doppelagenten-Schema funktionierte

Der Mechanismus des Schemas war einfach, aber verheerend. Indem er vertrauliche Details, Versicherungsinformationen, die Verhandlungsstrategie oder wie viel sich eine Opferorganisation realistisch leisten konnte, weitergab, verschaffte Martino den Angreifern von BlackCat bei jeder von ihm betreuten Verhandlung einen unlauteren Vorteil. Anstatt dass die Lösegeldforderungen unter seinem vermeintlichen Einsatz sanken, wurden sie heimlich so gestaltet, dass sie anstiegen.

Dies war auch kein Einzelfall. Verwandte Berichterstattung zu dem Fall, einschließlich Berichterstattung zum breiteren BlackCat-Verhandler-Schema, weist darauf hin, dass Martino nicht der einzige Verhandler war, der in ein solches Verhalten im Zusammenhang mit derselben Ransomware-Operation verwickelt war. Ein separater Fall mit einem Verhandler aus Florida, der in einem verwandten Erpressungsschema verurteilt wurde, unterstreicht, dass es sich nicht um einen einmaligen Ausrutscher eines einzelnen Täters handelte, sondern um ein Muster, das das strukturelle Vertrauen ausnutzte, auf dem die Incident-Response-Branche aufbaut.

Die 70-monatige Haftstrafe spiegelt den Ernst wider, mit dem die Bundesanwaltschaft den Vertrauensbruch behandelte: Dies war keine einfache Fahrlässigkeit oder ein Sicherheitsfehler, sondern ein Insider, der bewusst gegen diejenigen arbeitete, die ihm ihr Vertrauen und ihre sensiblen Daten anvertraut hatten.

Was das für Sie bedeutet

Für die meisten Menschen mag dieser Fall weit vom Alltag entfernt erscheinen, aber er berührt etwas, das alle interessieren sollte: wie viel Vertrauen wir den Vermittlern entgegenbringen, die in einer Krise unsere sensibelsten Informationen behandeln. Ransomware-Verhandler sitzen in einer einzigartig privilegierten Position. Sie sehen interne Finanzdaten, Sicherheitslücken und Kommunikationen, die eine Opferorganisation niemals öffentlich machen möchte.

Wenn dieses Vertrauen missbraucht wird, gehen die Auswirkungen über die unmittelbaren Opferunternehmen hinaus. Mitarbeiter, Kunden und alle, deren persönliche Daten in diesen kompromittierten Systemen gespeichert waren, können den Preis doppelt zahlen: einmal durch den ursprünglichen Ransomware-Angriff und noch einmal durch einen Verhandlungsprozess, der heimlich gegen sie arbeitete.

Dieser Fall ist eine Erinnerung daran, dass Privatsphäre und Sicherheit bei einem Ransomware-Vorfall nicht enden, sobald ein Spezialist beauftragt ist. Aufsicht, Überprüfung und eine unabhängige Kontrolle des Verhandlerverhaltens sind genauso wichtig wie die erste Reaktion auf einen Angriff selbst.

Umsetzbare Erkenntnisse

Falls Ihre Organisation jemals in die Lage gerät, mit Ransomware-Betreibern zu verhandeln, oder wenn Sie einfach verstehen möchten, wie solche Vorfälle ablaufen, lassen sich aus dem Fall Martino einige Lehren ziehen:

  • Überprüfen Sie Incident-Response-Anbieter sorgfältig und fragen Sie, wie sie ihr eigenes Personal während laufender Verhandlungen auf Interessenkonflikte überwachen.
  • Fordern Sie Transparenz darüber, wer Zugang zu sensiblen Verhandlungsdetails hat, einschließlich finanzieller Obergrenzen und Versicherungsinformationen.
  • Ziehen Sie eine unabhängige Aufsicht oder eine zweite Kontaktperson in Betracht, wenn hohe Lösegeldforderungen im Spiel sind, anstatt sich ausschließlich auf die Darstellung eines einzelnen Verhandlers zu verlassen.
  • Bleiben Sie informiert darüber, wie Ransomware-Verhandlungen tatsächlich ablaufen, denn das Verständnis der zugrundeliegenden Anreize hilft Organisationen, bessere Fragen zu stellen – bevor ein Angriff passiert, nicht danach.

Die Verurteilung eines Ransomware-Verhandlers wegen des Verrats an seinen eigenen Kunden ist ein extremer Fall, aber er unterstreicht eine einfache Wahrheit: Vertrauen in einer Krise muss verdient und überprüft werden, nicht vorausgesetzt.