Ransomware-Unterhändler Martino erhält 70 Monate Haft für Verbindungen zu BlackCat

Ein vertrauenswürdiger Unterhändler arbeitete für die Angreifer

Wenn ein Unternehmen von Ransomware getroffen wird, ist einer der ersten Anrufe oft an einen professionellen Unterhändler gerichtet – jemand, der beauftragt wird, die Lösegeldforderung herunterzuhandeln, Zeit zu gewinnen und als Puffer zwischen panischen Führungskräften und kriminellen Hackern zu fungieren. Dieses System beruht vollständig auf Vertrauen. Ein aktuelles Urteil vor einem Bundesgericht zeigt, was passiert, wenn dieses Vertrauen von innen heraus gebrochen wird.

Ein Ransomware-Unterhändler wurde zu 70 Monaten Bundesgefängnis verurteilt, nachdem die Staatsanwaltschaft festgestellt hatte, dass er heimlich mit der BlackCat-Gruppe (auch bekannt als ALPHV) konspiriert hatte, während er vorgab, Opfer zu vertreten. Anstatt die Unternehmen zu schützen, die ihn beauftragt hatten, gab er den Angreifern angeblich sensible Details weiter, darunter Informationen über den Versicherungsschutz und die Zahlungslimits der Kunden, was den Kriminellen Druckmittel verschaffte, um mehr Geld zu fordern und effektiver Druck auszuüben. Als Teil des Urteils zieht er zudem mit dem Schema verbundene Kryptowährung ein.

Der Fall identifizierte mindestens fünf Opferorganisationen, darunter ein Medizingeräteunternehmen in Florida, das zunächst mit einer Lösegeldforderung von 10 Millionen Dollar konfrontiert wurde, bevor es schließlich rund 1,2 Millionen Dollar zahlte, ein Pharmaunternehmen in Maryland und eine Arztpraxis. Der volle Umfang des Schemas überschnitt sich Berichten zufolge auch mit Machtkämpfen zwischen rivalisierenden Ransomware-Banden, wobei eine Gruppe drohte, die Operationen der anderen aufzudecken – eine Erinnerung daran, dass selbst kriminelle Ökosysteme nicht immun gegen interne Konflikte und Verrat sind.

Wie das Schema die Opfer untergrub

Ransomware-Unterhändler nehmen eine einzigartig sensible Position ein. Um ihre Arbeit zu erledigen, benötigen sie in der Regel Zugang zu Informationen, die die meisten Unternehmen niemals einem Außenstehenden aushändigen würden: wie viel Bargeld verfügbar ist, was die Cyberversicherungspolice tatsächlich abdeckt, interne Fristen und wie verzweifelt die Führungsebene die Situation in aller Stille lösen möchte. Diese Informationen sollen vertraulich bleiben und nur zum Schutz der Interessen des Kunden während der Verhandlung verwendet werden.

Wenn ein Unterhändler diese Informationen stattdessen an die Angreifer weitergibt, ist der gesamte Incident-Response-Prozess kompromittiert, noch bevor er überhaupt beginnt. Die Opfer glauben, aus einer Position informierter Strategie zu verhandeln, während die andere Seite in Wirklichkeit bereits ihre finanzielle Obergrenze kennt. Dieses Ungleichgewicht erklärt wahrscheinlich, warum die Forderungen in diesen Fällen so aggressiv eskalierten und warum die anfängliche Forderung an das Medizingeräteunternehmen achtmal höher war als das, was es schließlich zahlte.

Dies ist kein Einzelfall. Wie wir in unserer Berichterstattung über die Verurteilung eines Florida-Ransomware-Unterhändlers in einem separaten US-Erpressungsfall berichtet haben, haben Strafverfolgungsbehörden inzwischen mehrere Unterhändler identifiziert, die mit demselben BlackCat-Erpressungsnetzwerk in Verbindung stehen. Das Muster deutet darauf hin, dass es sich nicht um einen einmaligen Verrat handelte, sondern um einen vorsätzlichen, zumindest teilweise organisierten Versuch, die Incident-Response-Branche von innen heraus auszunutzen.

Auswirkungen auf die Privatsphäre von Betroffenen

Die Auswirkungen auf die Privatsphäre gehen weit über die Lösegeldbeträge hinaus. Medizingerätehersteller, Pharmaunternehmen und Arztpraxen verfügen routinemäßig über sensible Patienten- und Gesundheitsdaten. Wenn ein Unterhändler heimlich gegen die Interessen eines Opfers arbeitet, wirft dies echte Fragen auf, welche anderen sensiblen Informationen während des Erpressungsprozesses möglicherweise offengelegt, missbräuchlich verwendet oder als zusätzliches Druckmittel eingesetzt wurden. Unternehmen, die im Gesundheitswesen und anderen regulierten Sektoren tätig sind, sind bereits gesetzlich verpflichtet, Patientendaten unter strengen Datenschutzauflagen zu schützen, und ein Insiderverrat während eines Ransomware-Vorfalls erschwert jede nachgelagerte Entscheidung, einschließlich der Frage, ob und wie betroffene Personen informiert werden sollen.

Er macht auch auf einen blinden Fleck aufmerksam, den viele Organisationen erst dann bedenken, wenn es zu spät ist: Incident-Response-Dienstleister, darunter Unterhändler, Forensikfirmen und sogar während eines Vorfalls hinzugezogene Rechtsberater, werden selten mit der gleichen Sorgfalt geprüft wie andere Drittanbieterrisiken. Ein Unternehmen führt möglicherweise umfangreiche Due Diligence bei einem Cloud-Anbieter oder Softwareanbieter durch, holt aber in einer Krise einen Unterhändler primär aufgrund seines Rufs oder aus Dringlichkeit ins Boot.

Was das für Sie bedeutet

Wenn Ihre Organisation jemals einen Ransomware-Unterhändler oder eine Incident-Response-Firma beauftragen muss, ist dieser Fall ein Grund, langsamer zu machen, nicht in Panik zu verfallen. Überprüfen Sie Referenzen unabhängig, anstatt sich ausschließlich auf Empfehlungen Ihres Versicherers oder einer einzelnen Ansprechperson zu verlassen. Stellen Sie direkte Fragen dazu, wie Kundeninformationen gehandhabt, gespeichert und weitergegeben werden, und bestehen Sie auf dokumentierten Grenzen, was der Unterhändler preisgeben darf und was nicht. Wenn Ihre Cyberversicherungspolice eine bestimmte Anbieterliste vorschreibt, prüfen Sie diese Liste proaktiv, bevor ein Angriff geschieht, anstatt während eines aktiven Vorfalls hektisch zu handeln, wenn sowohl Handlungsspielraum als auch Urteilsvermögen beeinträchtigt sind.

Für Einzelpersonen ist die Lehre einfacher, aber dennoch wichtig: Wenn Sie benachrichtigt werden, dass ein Gesundheitsdienstleister, eine Apotheke oder ein Medizingerätehersteller, mit dem Sie zu tun hatten, einen Ransomware-Vorfall erlebt hat, nehmen Sie die Benachrichtigung ernst, selbst wenn das Unternehmen behauptet, der Datenverlust sei begrenzt gewesen. Fälle wie dieser zeigen, dass die interne Bearbeitung eines Vorfalls viel chaotischer sein kann, als öffentliche Erklärungen vermuten lassen.

Fazit

Diese Verurteilung ist ein seltenes, konkretes Beispiel dafür, wie die Rolle des Ransomware-Unterhändlers, die vollständig auf Vertraulichkeit und Vertrauen beruht, gegen genau die Organisationen gewendet werden kann, die sie eigentlich schützen soll. Überprüfen Sie Ihre Incident-Response-Dienstleister, bevor eine Krise eintritt, legen Sie klare Grenzen für den Informationsaustausch in jedem Vertrag fest und denken Sie daran, dass der Handlungsspielraum eines Ransomware-Unterhändlers davon abhängt, dass die Geheimhaltung auf Ihrer Seite gewahrt bleibt – nicht auf der des Angreifers.