Η είδηση ότι ένας διαπραγματευτής ransomware που συνελήφθη με κατηγορίες εκβιασμού είναι συνιδρυτής μιας εταιρείας που προσλαμβάνουν τα θύματα για βοήθεια έχει αναστατώσει έναν κλάδο που βασίζεται στην εμπιστοσύνη. Ο Edward Dubrovsky, συνιδρυτής της CYPFER, μιας εταιρείας που διαπραγματεύεται με φορείς εκμετάλλευσης ransomware, συνελήφθη στις 8 Οκτωβρίου στην Πενσυλβάνια. Δημοσιεύματα του Τύπου συνδέουν την υπόθεση με την ομάδα ShinyHunters, αλλά το FBI δεν έχει επιβεβαιώσει αυτή τη σύνδεση.

Αυτό το άρθρο περιορίζεται σε όσα έχουν αναφερθεί, επισημαίνει τι παραμένει άγνωστο και εξηγεί γιατί η ιστορία έχει σημασία για οργανισμούς και άτομα που μπορεί μια μέρα να βρεθούν αντιμέτωπα με αίτημα εκβιασμού.

Τι γνωρίζουμε για τη σύλληψη του Ντουμπρόφσκι

Τα επιβεβαιωμένα γεγονότα είναι περιορισμένα. Ο Ντουμπρόφσκι είναι συνιδρυτής της CYPFER, μιας εταιρείας της οποίας το έργο περιλαμβάνει διαπραγματεύσεις με φορείς εκμετάλλευσης ransomware εκ μέρους των θυμάτων. Συνελήφθη στις 8 Οκτωβρίου στην Πενσυλβάνια και οι κατηγορίες σχετίζονται με εκβιασμό.

Πέραν αυτού, το δημόσιο αρχείο είναι ισχνό. Το δημοσίευμα που αποτελεί την πηγή δεν αναφέρει λεπτομέρειες για τις συγκεκριμένες κατηγορίες, το χρονοδιάγραμμα τυχόν φερόμενης συμπεριφοράς ή αν επηρεάστηκαν πελάτες της CYPFER. Η σύλληψη δεν είναι καταδίκη και ο Ντουμπρόφσκι δικαιούται το τεκμήριο της αθωότητας. Οι αναγνώστες θα πρέπει να είναι επιφυλακτικοί με οποιαδήποτε αφήγηση που καλύπτει αυτά τα κενά με βεβαιότητα.

Τι δείχνει και τι δεν δείχνει η σύνδεση με τους ShinyHunters

Ορισμένα δημοσιεύματα του Τύπου συνδέουν την υπόθεση με τους ShinyHunters, μια ομάδα γνωστή για εκστρατείες εκβιασμού. Το FBI δεν το έχει επιβεβαιώσει. Αυτή η διάκριση έχει σημασία.

Μια σύνδεση στα μέσα μπορεί να σημαίνει πολλά: ένας δημοσιογράφος έχει δει δικαστικά έγγραφα, μια πηγή έχει περιγράψει την έρευνα ή παρατηρητές βγάζουν συμπεράσματα από τον χρονισμό. Κανένα από αυτά δεν ισοδυναμεί με επίσημη δήλωση από τους ερευνητές. Μέχρι τα έγγραφα κατηγορίας ή μια δήλωση υπηρεσίας να διευκρινίσουν τη σύνδεση, θα πρέπει να αντιμετωπίζεται ως αναφερόμενη σχέση, όχι ως τεκμηριωμένο γεγονός.

Αξίζει επίσης να θυμόμαστε ότι οι ίδιες οι ομάδες εκβιασμού είναι αναξιόπιστοι αφηγητές. Οι ισχυρισμοί τους συχνά σχεδιάζονται για να πιέσουν τα θύματα, όπως φαίνεται στην ανάλυσή μας για το πώς οι ισχυρισμοί για την παραβίαση της Carhartt μειώθηκαν στο μισό μετά από έλεγχο του Troy Hunt. Η σκεπτικιστική στάση ισχύει για κάθε πλευρά σε μια τέτοια ιστορία, συμπεριλαμβανομένων των ανώνυμων πηγών.

Πώς λειτουργούν οι εταιρείες διαπραγμάτευσης ransomware και πού βρίσκονται οι κίνδυνοι

Όταν μια εταιρεία πέσει θύμα ransomware, συχνά καλεί μια εταιρεία αντιμετώπισης περιστατικών. Ορισμένες από αυτές τις εταιρείες ειδικεύονται στην επικοινωνία με τους επιτιθέμενους: επιβεβαιώνουν ποια δεδομένα αφαιρέθηκαν, κερδίζουν χρόνο και μερικές φορές διαπραγματεύονται πληρωμή. Τα θύματα συνήθως παρέχουν σε αυτές τις εταιρείες βαθιά πρόσβαση σε ευαίσθητες λεπτομέρειες, συμπεριλαμβανομένης της έκτασης της παραβίασης, των οικονομικών ορίων του οργανισμού και του πόσο επειγόντως χρειάζεται τα συστήματά του πίσω.

Αυτή η πρόσβαση είναι ακριβώς αυτό που δημιουργεί κίνδυνο. Ένας διαπραγματευτής βρίσκεται ανάμεσα σε ένα απελπισμένο θύμα και έναν εγκληματία, και το θύμα συνήθως δεν μπορεί να επαληθεύσει τι λέγεται σε αυτές τις συνομιλίες. Ο κλάδος είναι επίσης ελαφρώς ρυθμισμένος, οπότε οι πελάτες εξαρτώνται σε μεγάλο βαθμό από τη φήμη και τη δεοντολογία μιας εταιρείας.

Αυτή δεν είναι η πρώτη φορά που ο τομέας βρίσκεται υπό εξέταση. Πρόσφατα καλύψαμε το πώς ο ιδρυτής της Monster Cloud, Zohar Pinhasi, συνελήφθη για ισχυρισμούς περί λύτρων, το οποίο επίσης έστρεψε τα φώτα σε μια άβολη γωνιά της αντιμετώπισης περιστατικών. Δύο υποθέσεις δεν αποδεικνύουν τάση, αλλά σίγουρα προκαλούν στενότερα ερωτήματα σχετικά με την εποπτεία.

Τι σηματοδοτεί η σύλληψη για τα θύματα και την επιβολή του νόμου

Για την επιβολή του νόμου, η σύλληψη ενός συνιδρυτή εταιρείας διαπραγμάτευσης υποδηλώνει ότι οι ερευνητές είναι πρόθυμοι να εξετάσουν τους μεσάζοντες γύρω από το ransomware, όχι μόνο τις ίδιες τις εγκληματικές ομάδες. Οι λεπτομέρειες αυτής της υπόθεσης δεν έχουν ακόμη αποκαλυφθεί, οπότε είναι πολύ νωρίς για να πούμε πόσο μακριά φτάνει αυτή η προσέγγιση.

Για τα θύματα, η υπόθεση είναι μια υπενθύμιση ότι η πρόσληψη ενός διαπραγματευτή είναι μια απόφαση που αξίζει δέουσα επιμέλεια, όχι μια αγορά πανικού.

Τι σημαίνει αυτό για εσάς

Αν διευθύνετε ή συμβουλεύετε έναν οργανισμό, αυτή η ιστορία δεν είναι λόγος να αποφύγετε επαγγελματική βοήθεια κατά τη διάρκεια μιας επίθεσης. Οι έμπειροι ανταποκριτές μπορεί να είναι πολύτιμοι. Είναι λόγος να ελέγξετε προσεκτικά αυτή τη βοήθεια.

Αν είστε άτομο, ο πρακτικός αντίκτυπος είναι έμμεσος. Πολλές παραβιάσεις που εκθέτουν προσωπικά δεδομένα καταλήγουν σε εκβιασμό, και τα άτομα που χειρίζονται αυτές τις διαπραγματεύσεις επηρεάζουν τον τρόπο με τον οποίο αντιμετωπίζονται τα δεδομένα σας. Αντιμετωπίστε τους ισχυρισμούς των επιτιθέμενων, και τις αβεβαίωτες συνδέσεις στον Τύπο, με προσοχή μέχρι να επιβεβαιωθούν.

Πρακτικά συμπεράσματα

  • Ελέγξτε τους συνεργάτες αντιμετώπισης περιστατικών εκ των προτέρων. Ρωτήστε για ελέγχους υποβάθρου, πολιτικές σύγκρουσης συμφερόντων και πώς τεκμηριώνονται οι επικοινωνίες διαπραγμάτευσης.
  • Τηρείτε αρχεία και εποπτεία. Βεβαιωθείτε ότι η διοίκηση και οι νομικοί σύμβουλοι μπορούν να δουν τα αρχεία καταγραφής των διαπραγματεύσεων και τις αποφάσεις.
  • Εμπλέξτε τις αρχές επιβολής του νόμου νωρίς. Αναφέρετε περιστατικά στις αρμόδιες αρχές αντί να βασίζεστε αποκλειστικά σε ιδιώτες μεσάζοντες.
  • Διαχωρίστε την κατηγορία από το γεγονός. Η σύνδεση με τους ShinyHunters είναι αβεβαίωτη. Περιμένετε επίσημη επιβεβαίωση πριν βγάλετε συμπεράσματα.
  • Διαβάστε το ευρύτερο μοτίβο. Η σύλληψη της Monster Cloud εντάσσεται σε ένα μοτίβο εξέτασης των διαπραγματευτών, και το άρθρο για την Carhartt παραπάνω δείχνει γιατί οι ισχυρισμοί των ομάδων εκβιασμού πρέπει να διαβάζονται κριτικά.

Η ιστορία ενός διαπραγματευτή ransomware που συνελήφθη με κατηγορίες εκβιασμού βρίσκεται ακόμη σε εξέλιξη. Ελέγξτε για επίσημες ενημερώσεις πριν σχηματίσετε άποψη, και χρησιμοποιήστε αυτή τη στιγμή για να αναθεωρήσετε σε ποιον θα εμπιστευόσασταν σε μια κρίση.