Un negociador de ransomware se supone que es la persona en la sala que lucha por la víctima. Esa confianza quedó destrozada en el caso de Angelo Martino, un exnegociador de la firma de respuesta a incidentes DigitalMint, quien fue sentenciado a 70 meses en una prisión federal por filtrar en secreto información confidencial de los clientes a la banda de ransomware BlackCat, los mismos atacantes contra los que fue contratado para negociar.

La sentencia cierra uno de los capítulos más inquietantes de la historia reciente del ransomware: un caso en el que el supuesto defensor trabajaba a ambos lados de la mesa de negociación.

Un infiltrado de confianza convertido en traidor

Cuando una empresa es víctima de ransomware, contratar a un negociador profesional suele ser una de las primeras llamadas que se hacen después de contactar a las fuerzas del orden y a los asesores legales. Estos especialistas intervienen precisamente porque las víctimas están aterrorizadas, superadas técnicamente y desesperadas por evitar más daños. Un buen negociador debe ganar tiempo, rechazar demandas infladas y, en última instancia, reducir el rescate a algo que la víctima pueda pagar sin sucumbir, si es que se llega a pagar.

El papel de Martino en DigitalMint lo colocó justo en ese tipo de relación. Según los informes en los que se basa esta información, utilizó su acceso a los datos de los clientes, incluida información sobre la presión a la que estaban sometidas las víctimas y lo que podrían estar dispuestas a pagar, para ayudar a los operadores de BlackCat a obtener pagos mayores en lugar de menores. En la práctica, invirtió el trabajo del negociador, esforzándose por maximizar el daño a los mismos clientes que lo habían contratado para su protección.

Como ya informó vpn.social, este acuerdo dependía por completo de la suposición de que la lealtad de un negociador va en una sola dirección. La conducta de Martino rompió esa suposición de una manera que ha sacudido al sector de la respuesta a incidentes.

Cómo funcionó el esquema del agente doble

La mecánica del esquema era simple pero perjudicial. Al transmitir detalles confidenciales, información sobre seguros, la estrategia de negociación o cuánto podía pagar realmente una organización víctima, Martino dio a los atacantes de BlackCat una ventaja injusta en cada negociación en la que participó. En lugar de que las exigencias de rescate se redujeran bajo su supuesta defensa, se las ingeniaba en silencio para que aumentaran.

Tampoco fue un incidente aislado. La cobertura relacionada del caso, incluido un informe sobre el esquema más amplio de negociadores de BlackCat, señala que Martino no fue el único negociador implicado en este tipo de conducta vinculada a la misma operación de ransomware. Un caso aparte que involucra a un negociador de Florida condenado en un esquema de extorsión relacionado subraya que no se trató de un desliz puntual de un solo actor malicioso, sino de un patrón que explotó la confianza estructural integrada en el sector de la respuesta a incidentes.

La sentencia de 70 meses refleja la seriedad con la que los fiscales federales trataron la traición: no fue simple negligencia o un fallo de seguridad, fue un infiltrado que deliberadamente trabajó en contra de las personas que habían depositado su confianza, y sus datos confidenciales, en sus manos.

Lo que esto significa para usted

Para la mayoría de las personas, este caso puede parecer alejado de la vida cotidiana, pero toca algo que a todos debería importarles: cuánta confianza depositamos en los intermediarios que manejan nuestra información más delicada durante una crisis. Los negociadores de ransomware ocupan una posición excepcionalmente privilegiada. Ven detalles financieros internos, brechas de seguridad y comunicaciones que una organización víctima jamás querría hacer públicas.

Cuando se abusa de esa confianza, las consecuencias van más allá de las empresas víctimas inmediatas. Los empleados, los clientes y cualquier persona cuyos datos personales estuvieran almacenados en esos sistemas vulnerados pueden acabar pagando el precio dos veces: una por el ataque de ransomware original, y otra por un proceso de negociación que, en secreto, trabajaba en su contra.

Este caso nos recuerda que la privacidad y la seguridad en un incidente de ransomware no terminan una vez que se contrata a un especialista. La supervisión, la verificación y la revisión independiente de la conducta del negociador importan tanto como la respuesta inicial al ataque en sí.

Lecciones prácticas

Si su organización se encuentra alguna vez negociando con operadores de ransomware, o si simplemente quiere entender cómo se desarrollan estos incidentes, hay algunas lecciones que se desprenden del caso Martino:

  • Evalúe cuidadosamente a los proveedores de respuesta a incidentes y pregunte cómo supervisan a su propio personal para detectar conflictos de intereses durante las negociaciones activas.
  • Solicite transparencia sobre quién tiene acceso a los detalles confidenciales de la negociación, incluidos los límites financieros y la información sobre seguros.
  • Considere una supervisión independiente o un segundo punto de contacto cuando se trate de demandas de rescate elevadas, en lugar de confiar únicamente en el relato del proceso que haga un solo negociador.
  • Manténgase informado sobre cómo funciona realmente la negociación de ransomware, ya que entender los incentivos en juego ayuda a las organizaciones a hacer mejores preguntas antes, y no después, de que ocurra un ataque.

La sentencia de un negociador de ransomware por traicionar a sus propios clientes es un caso extremo, pero pone de relieve una verdad simple: en una crisis, la confianza tiene que ganarse y verificarse, no darse por sentada.