Ein vertrauenswürdiger Insider wendet sich gegen seine eigenen Kunden
Wenn ein Unternehmen von Ransomware getroffen wird, ruft es in der Regel einen Verhandlungsführer hinzu – jemanden, dessen Aufgabe es ist, mit den Angreifern zu kommunizieren, die Lage einzuschätzen und zu versuchen, den Schaden zu begrenzen. Dieses Verhältnis beruht vollständig auf Vertrauen. Ein ehemaliger Verhandlungsführer der Incident-Response-Firma DigitalMint hat gerade gezeigt, was passiert, wenn dieses Vertrauen gebrochen wird.
Angelo Martino, 41, wurde zu 70 Monaten Bundesgefängnis verurteilt, weil er mit der BlackCat-Ransomware-Gruppe (auch bekannt als ALPHV) konspiriert hat, während er als Verhandlungsführer angeblich die Interessen der Opfer vertrat. Statt seine Mandanten ausschließlich zu verteidigen, nutzte Martino seine Position, um Informationen an genau die Kriminellen weiterzugeben, die seine Mandanten abzuwehren versuchten, wie Help Net Security berichtet. Der Fall, der in unserer früheren Berichterstattung über die 70-monatige Haftstrafe des DigitalMint-Verhandlers ausführlicher dargestellt wird, macht auf eine Bedrohung aufmerksam, an die die meisten Ransomware-Opfer nie denken: die Person, die sie eigentlich schützen soll.
Warum Ransomware-Verhandlungsführer so viele sensible Daten besitzen
Ransomware-Verhandlungsführer nehmen eine besonders privilegierte Position ein. Um ihre Arbeit effektiv zu leisten, benötigen sie normalerweise Zugang zu Details, die die meisten Mitarbeiter innerhalb der Opferorganisation nie zu sehen bekommen: den Umfang des Verstoßes, welche Daten gestohlen wurden, wie hoch die Cyberversicherung des Unternehmens ist und wie viel das Unternehmen realistischerweise zu zahlen bereit oder in der Lage ist. Diese Informationen sind für einen Angreifer Gold wert. Die Kenntnis der Versicherungslimits eines Opfers ermöglicht es einer Ransomware-Gruppe beispielsweise, ihre Lösegeldforderung so zu kalibrieren, dass die maximal mögliche Zahlung herausgepresst wird.
Genau das macht den Fall Martino aus Datenschutzsicht bemerkenswert. Es handelte sich nicht um einen externen Hacker, der in die Systeme eines Unternehmens eindrang. Es war ein Insider, jemand, der gerade wegen des sensiblen Zugriffs, den seine Rolle erforderte, hinzugezogen wurde, und der diesen Zugriff mutmaßlich gegen diejenigen einsetzte, die ihn beauftragt hatten. Incident-Response- und Verhandlungsfirmen existieren, weil die meisten Unternehmen nicht über die speziellen Fähigkeiten verfügen, um eine Ransomware-Krise intern zu bewältigen. Die Abhängigkeit von externen Experten ist vernünftig und oft notwendig, bedeutet aber auch, dass die Opfer einem Dritten Vertrauen schenken, ohne die Möglichkeit zu haben, unabhängig zu überprüfen, ob dieses Vertrauen gerechtfertigt ist.
Das breitere Ransomware-Ökosystem zwingt Opfer bereits zu schwierigen Abwägungen im Hinblick auf den Datenschutz. Die Zahlung eines Lösegelds garantiert nicht, dass die gestohlenen Daten gelöscht werden, und Verhandlungen in gutem Glauben setzen voraus, dass die andere Seite und alle, die einen beraten, ebenfalls in gutem Glauben handeln. Ein Fall wie dieser untergräbt diese Annahme auf eine Weise, die Opfer zögern lassen könnte, den Fachleuten, die ihnen eigentlich helfen sollen, vollständige Informationen preiszugeben, was die Reaktion auf den Vorfall genau dann verlangsamen könnte, wenn sie am dringendsten gebraucht wird.
Was das für Sie bedeutet
Die meisten Leser werden nie persönlich einen Ransomware-Verhandlungsführer beauftragen, aber die zugrundeliegende Lehre gilt allgemein: Drittanbieter, die Zugriff auf Ihre sensiblen Daten haben, sind nur so vertrauenswürdig wie das schwächste Glied in deren Organisation. Ob es sich um eine Anwaltskanzlei, einen Incident-Response-Dienstleister, einen Cloud-Anbieter oder ein Unternehmen handelt, das Ihre persönlichen oder finanziellen Daten verarbeitet – die Sicherheit dieser Beziehung hängt von internen Kontrollen ab, die Sie von außen nicht sehen können.
Für Unternehmen ist dieser Fall eine Mahnung, schon vor und während eines Ransomware-Vorfalls harte Fragen zu stellen. Wer in der Verhandlungsfirma hat Zugriff auf Versicherungsdetails und Zahlungsvollmachten? Gibt es interne Kontrollen, die verhindern, dass ein einzelner Mitarbeiter ohne Aufsicht direkt mit den Bedrohungsakteuren kommuniziert? Werden Gespräche protokolliert und überprüft? Dies sind Fragen, an die die meisten Unternehmen mitten in einer Krise nicht denken, aber sie sollten Teil der Sorgfaltspflicht sein, bevor es zu einer Sicherheitsverletzung kommt, nicht erst danach.
Für Einzelpersonen ist die Erkenntnis eher indirekt, aber dennoch relevant. Wenn ein Unternehmen, mit dem Sie Geschäfte machen, Opfer eines Ransomware-Angriffs wird, liegt die Handhabung dieses Vorfalls – einschließlich der Frage, wer während der Verhandlungen Zugriff auf Ihre kompromittierten Daten hat – weitgehend außerhalb Ihrer Kontrolle. Das ist ein weiterer Grund, von vornherein so wenig sensible personenbezogene Daten wie möglich mit einer einzelnen Organisation zu teilen und Tools wie Passwort-Manager und Multi-Faktor-Authentifizierung zu nutzen, damit ein einzelner Datenverstoß nicht zu einer weitreichenden Kompromittierung weiterer Konten führen kann.
Wichtige Erkenntnisse, um Insider-Risiken einen Schritt voraus zu sein
Diese Verurteilung sendet ein klares Signal, dass Insider-Verrat während der Reaktion auf Ransomware ernste rechtliche Konsequenzen hat, doch Vorbeugung ist wichtiger als nachträgliche Bestrafung. Wenn Ihre Organisation mit Incident-Response- oder Verhandlungsfirmen zusammenarbeitet, bestehen Sie auf dokumentierten Zugriffskontrollen, unabhängiger Überwachung der Verhandlungen und einer klaren vertraglichen Verantwortlichkeit. Wenn Sie als Einzelperson von einer Sicherheitsverletzung bei einem Unternehmen betroffen sind, dem Sie vertrauen, nehmen Sie Benachrichtigungen ernst, ändern Sie wiederverwendete Passwörter und überwachen Sie die mit diesem Unternehmen verknüpften Konten.
Der Fall Martino wird wahrscheinlich noch jahrelang als warnendes Beispiel im Bereich der Ransomware-Verhandlungen herangezogen werden. Für alle anderen ist er eine nützliche Erinnerung daran, dass Vertrauen in einer Krise verdient und überprüft werden muss und nicht einfach vorausgesetzt werden darf.
