Ένας έμπιστος ενδότερος στράφηκε εναντίον των ίδιων του των πελατών

Όταν μια εταιρεία πέφτει θύμα ransomware, συνήθως καλεί έναν διαπραγματευτή, κάποιον που η δουλειά του είναι να επικοινωνεί με τους επιτιθέμενους, να αξιολογεί την κατάσταση και να προσπαθεί να μειώσει τη ζημιά. Αυτή η σχέση βασίζεται αποκλειστικά στην εμπιστοσύνη. Ένας πρώην διαπραγματευτής στην εταιρεία διαχείρισης περιστατικών DigitalMint έδειξε τι συμβαίνει όταν αυτή η εμπιστοσύνη προδίδεται.

Ο Angelo Martino, 41 ετών, καταδικάστηκε σε 70 μήνες ομοσπονδιακής φυλάκισης για συνωμοσία με την ομάδα ransomware BlackCat (γνωστή και ως ALPHV) ενώ εργαζόταν ως διαπραγματευτής που υποτίθεται ότι εκπροσωπούσε τα συμφέροντα των θυμάτων. Αντί να υπερασπίζεται αμιγώς τους πελάτες του, ο Martino χρησιμοποίησε τη θέση του για να διαβιβάζει πληροφορίες στους ίδιους τους εγκληματίες που οι πελάτες του προσπαθούσαν να αποκρούσουν, σύμφωνα με το ρεπορτάζ του Help Net Security. Η υπόθεση, που αναλύεται περαιτέρω στην προηγούμενη κάλυψή μας για την ποινή 70 μηνών του διαπραγματευτή της DigitalMint, αναδεικνύει μια απειλή που τα περισσότερα θύματα ransomware δεν σκέφτονται ποτέ: το πρόσωπο που προσέλαβαν για να τα προστατέψει.

Γιατί οι διαπραγματευτές ransomware κατέχουν τόσο ευαίσθητα δεδομένα

Οι διαπραγματευτές ransomware καταλαμβάνουν μια μοναδικά προνομιακή θέση. Για να κάνουν αποτελεσματικά τη δουλειά τους, συνήθως χρειάζονται πρόσβαση σε λεπτομέρειες που οι περισσότεροι υπάλληλοι ενός οργανισμού-θύματος δεν βλέπουν ποτέ: την έκταση της παραβίασης, ποια δεδομένα κλάπηκαν, πόση ασφαλιστική κάλυψη κυβερνοασφάλειας διαθέτει η εταιρεία και πόσα είναι ρεαλιστικά διατεθειμένη ή ικανή να πληρώσει. Αυτές οι πληροφορίες είναι χρυσός για έναν επιτιθέμενο. Γνωρίζοντας, για παράδειγμα, τα ασφαλιστικά όρια ενός θύματος, μια ομάδα ransomware μπορεί να βαθμονομήσει την απαίτηση λύτρων για να αποσπάσει τη μέγιστη δυνατή πληρωμή.

Αυτό ακριβώς καθιστά την υπόθεση Martino αξιοσημείωτη από άποψη ιδιωτικότητας. Δεν ήταν ένας εξωτερικός χάκερ που εισέβαλε στα συστήματα μιας εταιρείας. Ήταν ένας ενδότερος, κάποιος που προσλήφθηκε ειδικά λόγω της ευαίσθητης πρόσβασης που απαιτούσε ο ρόλος του, και φέρεται να χρησιμοποίησε αυτή την πρόσβαση εναντίον των ανθρώπων που τον προσέλαβαν. Οι εταιρείες διαχείρισης περιστατικών και διαπραγμάτευσης υπάρχουν επειδή οι περισσότεροι οργανισμοί δεν διαθέτουν τις εξειδικευμένες δεξιότητες για να διαχειριστούν μια κρίση ransomware εσωτερικά. Αυτή η εξάρτηση από εξωτερικούς εμπειρογνώμονες είναι λογική και συχνά απαραίτητη, αλλά σημαίνει επίσης ότι τα θύματα επεκτείνουν την εμπιστοσύνη σε ένα τρίτο μέρος με ελάχιστη δυνατότητα να επαληθεύσουν ανεξάρτητα ότι αυτή η εμπιστοσύνη είναι δικαιολογημένη.

Το ευρύτερο οικοσύστημα ransomware ήδη αναγκάζει τα θύματα να κάνουν δύσκολους συμβιβασμούς ιδιωτικότητας. Η πληρωμή λύτρων δεν εγγυάται ότι τα κλεμμένα δεδομένα θα διαγραφούν και η καλόπιστη διαπραγμάτευση προϋποθέτει ότι η άλλη πλευρά, και όλοι όσοι σας συμβουλεύουν, ενεργούν επίσης καλόπιστα. Μια υπόθεση σαν αυτή υπονομεύει αυτή την παραδοχή με τρόπο που θα μπορούσε να κάνει τα θύματα πιο διστακτικά να αποκαλύψουν πλήρως πληροφορίες στους επαγγελματίες που προορίζονται να τα βοηθήσουν, καθυστερώντας ενδεχομένως την απόκριση στο περιστατικό τη στιγμή που έχει τη μεγαλύτερη σημασία.

Τι σημαίνει αυτό για εσάς

Οι περισσότεροι αναγνώστες δεν θα προσλάβουν ποτέ προσωπικά έναν διαπραγματευτή ransomware, αλλά το υποκείμενο δίδαγμα ισχύει ευρέως: οι τρίτοι προμηθευτές με πρόσβαση στα ευαίσθητα δεδομένα σας είναι τόσο αξιόπιστοι όσο ο πιο αδύναμος κρίκος μέσα στον οργανισμό αυτού του προμηθευτή. Είτε πρόκειται για δικηγορική εταιρεία, εργολάβο διαχείρισης περιστατικών, πάροχο cloud ή οποιαδήποτε εταιρεία χειρίζεται προσωπικές ή οικονομικές σας πληροφορίες, η ασφάλεια αυτής της σχέσης εξαρτάται από εσωτερικούς ελέγχους που δεν μπορείτε να δείτε από έξω.

Για τις επιχειρήσεις, αυτή η υπόθεση είναι μια υπενθύμιση να θέτουν δύσκολες ερωτήσεις πριν και κατά τη διάρκεια ενός περιστατικού ransomware. Ποιος στην εταιρεία διαπραγμάτευσης έχει πρόσβαση στις ασφαλιστικές λεπτομέρειες και την εξουσιοδότηση πληρωμής; Υπάρχουν εσωτερικοί έλεγχοι που εμποδίζουν έναν μεμονωμένο υπάλληλο να επικοινωνεί απευθείας με τους φορείς απειλής χωρίς επίβλεψη; Καταγράφονται και επανεξετάζονται οι συνομιλίες; Αυτές δεν είναι ερωτήσεις που οι περισσότερες εταιρείες σκέφτονται να κάνουν εν μέσω κρίσης, αλλά θα έπρεπε να αποτελούν μέρος της δέουσας επιμέλειας πριν συμβεί ποτέ μια παραβίαση, όχι μετά.

Για τα άτομα, το συμπέρασμα είναι πιο έμμεσο αλλά εξακολουθεί να είναι σχετικό. Όταν μια εταιρεία με την οποία συναλλάσσεστε υφίσταται επίθεση ransomware, ο χειρισμός αυτού του περιστατικού, συμπεριλαμβανομένου του ποιος έχει πρόσβαση στα παραβιασμένα δεδομένα σας κατά τη διάρκεια των διαπραγματεύσεων, είναι σε μεγάλο βαθμό εκτός του ελέγχου σας. Αυτός είναι ένας ακόμη λόγος για να ελαχιστοποιήσετε πόσα ευαίσθητα προσωπικά δεδομένα μοιράζεστε εξαρχής με οποιονδήποτε μεμονωμένο οργανισμό και να χρησιμοποιείτε εργαλεία όπως διαχειριστές κωδικών πρόσβασης και έλεγχο ταυτότητας πολλαπλών παραγόντων, ώστε μια μεμονωμένη παραβίαση να μην μπορεί να κλιμακωθεί σε ευρύτερο συμβιβασμό λογαριασμών.

Συμπεράσματα για να παραμείνετε μπροστά από τον κίνδυνο ενδότερων

Αυτή η καταδίκη στέλνει ένα σαφές μήνυμα ότι η προδοσία ενδότερου κατά τη διάρκεια μιας απόκρισης σε ransomware επιφέρει σοβαρές νομικές συνέπειες, αλλά η πρόληψη έχει μεγαλύτερη σημασία από την τιμωρία εκ των υστέρων. Εάν ο οργανισμός σας συνεργάζεται με εταιρείες διαχείρισης περιστατικών ή διαπραγμάτευσης, επιμείνετε σε τεκμηριωμένους ελέγχους πρόσβασης, ανεξάρτητη επίβλεψη των διαπραγματεύσεων και σαφή συμβατική λογοδοσία. Εάν είστε άτομο που επηρεάζεται από μια παραβίαση σε μια εταιρεία που εμπιστεύεστε, λάβετε σοβαρά υπόψη τις ειδοποιήσεις, αλλάξτε τους κωδικούς πρόσβασης που έχετε επαναχρησιμοποιήσει και παρακολουθήστε τους λογαριασμούς που συνδέονται με αυτόν τον οργανισμό.

Η υπόθεση Martino πιθανότατα θα αναφέρεται για χρόνια ως προειδοποιητικό παράδειγμα στον τομέα των διαπραγματευτών ransomware. Για όλους τους υπόλοιπους, είναι μια χρήσιμη υπενθύμιση ότι η εμπιστοσύνη σε μια κρίση πρέπει να κερδίζεται και να επαληθεύεται, όχι να θεωρείται δεδομένη.