Διαπραγματευτής ransomware Martino καταδικάζεται σε 70 μήνες για σχέσεις με την BlackCat

Ένας Έμπιστος Διαπραγματευτής Εργαζόταν για τους Επιτιθέμενους

Όταν μια εταιρεία πέφτει θύμα ransomware, μία από τις πρώτες κλήσεις που γίνονται είναι συχνά σε έναν επαγγελματία διαπραγματευτή, κάποιον που προσλαμβάνεται για να μειώσει το απαιτούμενο ποσό λύτρων, να κερδίσει χρόνο και να λειτουργήσει ως ανάχωμα μεταξύ πανικόβλητων στελεχών και εγκληματιών χάκερ. Αυτό το σύστημα βασίζεται αποκλειστικά στην εμπιστοσύνη. Μια πρόσφατη ομοσπονδιακή καταδίκη δείχνει τι συμβαίνει όταν αυτή η εμπιστοσύνη προδίδεται εκ των έσω.

Ένας διαπραγματευτής ransomware καταδικάστηκε σε 70 μήνες ομοσπονδιακής φυλάκισης, αφού οι εισαγγελείς ανακάλυψαν ότι είχε συνωμοτήσει κρυφά με την ομάδα ransomware BlackCat (γνωστή και ως ALPHV), ενώ ισχυριζόταν ότι εκπροσωπούσε θύματα. Αντί να προστατεύει τις εταιρείες που τον προσλάμβαναν, φέρεται να τροφοδοτούσε τους επιτιθέμενους με ευαίσθητες λεπτομέρειες, συμπεριλαμβανομένων πληροφοριών για την ασφαλιστική κάλυψη και τα όρια πληρωμών των πελατών, δίνοντας στους εγκληματίες διαπραγματευτική ισχύ για να απαιτήσουν περισσότερα χρήματα και να ασκήσουν πίεση πιο αποτελεσματικά. Στο πλαίσιο της ποινής, παραδίδει επίσης κρυπτονομίσματα που συνδέονται με το σχέδιο.

Η υπόθεση εντόπισε τουλάχιστον πέντε οργανισμούς-θύματα, συμπεριλαμβανομένης μιας εταιρείας ιατροτεχνολογικού εξοπλισμού στη Φλόριντα, η οποία δέχθηκε αρχικά απαίτηση λύτρων 10 εκατομμυρίων δολαρίων πριν τελικά πληρώσει περίπου 1,2 εκατομμύρια δολάρια, μιας φαρμακευτικής εταιρείας στο Μέριλαντ και ενός ιατρείου. Το πλήρες εύρος του σχεδίου φέρεται να συνδέθηκε επίσης με εσωτερικές διαμάχες μεταξύ αντίπαλων συμμοριών ransomware, με μία ομάδα να απειλεί να αποκαλύψει τις επιχειρήσεις της άλλης, μια υπενθύμιση ότι ακόμη και τα εγκληματικά οικοσυστήματα δεν είναι άτρωτα στις εσωτερικές συγκρούσεις και την προδοσία.

Πώς το Σχέδιο Υπονόμευε τα Θύματα

Οι διαπραγματευτές ransomware κατέχουν μια μοναδικά ευαίσθητη θέση. Για να κάνουν τη δουλειά τους, συνήθως χρειάζονται πρόσβαση σε πληροφορίες που οι περισσότερες εταιρείες δεν θα έδιναν ποτέ σε έναν εξωτερικό συνεργάτη: πόσα μετρητά είναι διαθέσιμα, τι καλύπτει πραγματικά το ασφαλιστήριο κυβερνοασφάλισης, εσωτερικές προθεσμίες και πόσο απελπισμένη είναι η διοίκηση για να επιλύσει την κατάσταση αθόρυβα. Αυτές οι πληροφορίες υποτίθεται ότι παραμένουν εμπιστευτικές και χρησιμοποιούνται μόνο για την προστασία των συμφερόντων του πελάτη κατά τη διάρκεια της διαπραγμάτευσης.

Όταν ένας διαπραγματευτής αντίθετα μεταδίδει αυτές τις πληροφορίες στους επιτιθέμενους, ολόκληρη η διαδικασία αντιμετώπισης περιστατικών υπονομεύεται πριν καν ξεκινήσει. Τα θύματα πιστεύουν ότι διαπραγματεύονται από θέση ενημερωμένης στρατηγικής, ενώ στην πραγματικότητα η άλλη πλευρά γνωρίζει ήδη το οικονομικό τους όριο. Αυτή η ανισορροπία πιθανώς εξηγεί γιατί οι απαιτήσεις σε αυτές τις υποθέσεις κλιμακώθηκαν τόσο επιθετικά και γιατί η αρχική απαίτηση της εταιρείας ιατροτεχνολογικού εξοπλισμού ήταν οκτώ φορές υψηλότερη από αυτό που τελικά πλήρωσε.

Αυτό δεν είναι μεμονωμένο περιστατικό. Όπως αναφέραμε στην κάλυψή μας για την καταδίκη διαπραγματευτή ransomware στη Φλόριντα σε ξεχωριστή υπόθεση εκβιασμού στις ΗΠΑ, οι αρχές έχουν πλέον ταυτοποιήσει πολλούς διαπραγματευτές που συνδέονται με το ίδιο δίκτυο εκβιασμού που σχετίζεται με την BlackCat. Το μοτίβο υποδηλώνει ότι δεν επρόκειτο για μια μεμονωμένη προδοσία, αλλά για μια σκόπιμη, τουλάχιστον εν μέρει οργανωμένη προσπάθεια εκμετάλλευσης του κλάδου αντιμετώπισης περιστατικών εκ των έσω.

Επιπτώσεις στην Ιδιωτικότητα για τα Θύματα Παραβίασης

Οι επιπτώσεις στην ιδιωτικότητα εκτείνονται πολύ πέρα από τα ποσά των λύτρων. Οι εταιρείες ιατροτεχνολογικού εξοπλισμού, οι φαρμακευτικές εταιρείες και τα ιατρεία διατηρούν συνήθως ευαίσθητα δεδομένα ασθενών και υγείας. Όταν ένας διαπραγματευτής εργάζεται κρυφά ενάντια στα συμφέροντα ενός θύματος, εγείρονται πραγματικά ερωτήματα σχετικά με το ποιες άλλες ευαίσθητες πληροφορίες μπορεί να εκτέθηκαν, να χρησιμοποιήθηκαν λανθασμένα ή να χρησιμοποιήθηκαν ως πρόσθετη διαπραγματευτική ισχύς κατά τη διάρκεια της διαδικασίας εκβιασμού. Οι εταιρείες που δραστηριοποιούνται στον τομέα της υγειονομικής περίθαλψης και σε άλλους ρυθμιζόμενους τομείς είναι ήδη υποχρεωμένες να προστατεύουν τα δεδομένα των ασθενών υπό αυστηρές υποχρεώσεις ιδιωτικότητας και μια εσωτερική προδοσία κατά τη διάρκεια ενός περιστατικού ransomware περιπλέκει κάθε μεταγενέστερη απόφαση, συμπεριλαμβανομένου του εάν και πώς θα ειδοποιηθούν τα επηρεαζόμενα άτομα.

Αναδεικνύει επίσης ένα τυφλό σημείο που πολλοί οργανισμοί δεν εξετάζουν μέχρι να είναι πολύ αργά: οι πάροχοι αντιμετώπισης περιστατικών, συμπεριλαμβανομένων των διαπραγματευτών, των εταιρειών ψηφιακής εγκληματολογίας, ακόμη και των νομικών συμβούλων που εμπλέκονται κατά τη διάρκεια μιας παραβίασης, σπάνια ελέγχονται με τον ίδιο έλεγχο που εφαρμόζεται σε άλλους κινδύνους τρίτων μερών. Μια εταιρεία μπορεί να διεξάγει εκτεταμένη δέουσα επιμέλεια σε έναν πάροχο cloud ή έναν πωλητή λογισμικού, αλλά να προσλάβει έναν διαπραγματευτή κατά τη διάρκεια μιας κρίσης βασιζόμενη κυρίως στη φήμη ή τον επείγοντα χαρακτήρα.

Τι Σημαίνει Αυτό για Εσάς

Εάν ο οργανισμός σας χρειαστεί ποτέ να προσλάβει έναν διαπραγματευτή ransomware ή μια εταιρεία αντιμετώπισης περιστατικών, αυτή η υπόθεση είναι ένας λόγος για να επιβραδύνετε και όχι να πανικοβληθείτε. Επαληθεύστε ανεξάρτητα τα διαπιστευτήρια αντί να βασίζεστε αποκλειστικά σε παραπομπές από τον ασφαλιστή σας ή ένα μόνο σημείο επαφής. Κάντε άμεσες ερωτήσεις σχετικά με τον τρόπο χειρισμού, αποθήκευσης και κοινοποίησης των πληροφοριών του πελάτη και επιμείνετε σε τεκμηριωμένα όρια σχετικά με το τι μπορεί και τι δεν μπορεί να αποκαλύψει ο διαπραγματευτής. Εάν το ασφαλιστήριο κυβερνοασφάλισής σας ορίζει μια συγκεκριμένη λίστα παρόχων, ελέγξτε αυτή τη λίστα προληπτικά, πριν συμβεί μια επίθεση, αντί να βιαστείτε κατά τη διάρκεια ενός ενεργού περιστατικού, όταν η διαπραγματευτική ισχύς και η κρίση είναι αμφότερες υπονομευμένες.

Για τα άτομα, το συμπέρασμα είναι απλούστερο αλλά εξίσου σημαντικό: εάν ειδοποιηθείτε ότι ένας πάροχος υγειονομικής περίθαλψης, ένα φαρμακείο ή μια εταιρεία ιατροτεχνολογικού εξοπλισμού με την οποία έχετε αλληλεπιδράσει υπέστη περιστατικό ransomware, λάβετε σοβαρά την ειδοποίηση ακόμη και αν η εταιρεία λέει ότι η έκθεση δεδομένων ήταν περιορισμένη. Υποθέσεις όπως αυτή δείχνουν ότι ο εσωτερικός χειρισμός μιας παραβίασης μπορεί να είναι πολύ πιο χαώδης από ό,τι υποδηλώνουν οι δημόσιες δηλώσεις.

Συμπεράσματα

Αυτή η καταδίκη είναι ένα σπάνιο, συγκεκριμένο παράδειγμα του πώς ο ρόλος του διαπραγματευτή ransomware, που βασίζεται εξ ολοκλήρου στην εμπιστευτικότητα και την εμπιστοσύνη, μπορεί να μετατραπεί σε όπλο ενάντια στους ίδιους τους οργανισμούς που υποτίθεται ότι προστατεύει. Ελέγξτε τους παρόχους αντιμετώπισης περιστατικών πριν χτυπήσει μια κρίση, δημιουργήστε σαφή όρια κοινοποίησης πληροφοριών σε κάθε σύμβαση και θυμηθείτε ότι η διαπραγματευτική ισχύς ενός διαπραγματευτή ransomware εξαρτάται από το να παραμείνει η μυστικότητα μυστική από την πλευρά σας, όχι από την πλευρά του επιτιθέμενου.