Un informante de confianza convertido en cómplice

Cuando una empresa es víctima de ransomware, a menudo recurre a un negociador especializado para manejar la delicada y arriesgada conversación con los atacantes. Ese era precisamente el papel que Angelo Martino, de 41 años, desempeñaba en DigitalMint, una firma que ayuda a las organizaciones a gestionar incidentes de ransomware y a negociar pagos en su nombre. Traían a Martino durante casos de brechas activas, sentado del lado de la mesa que debía proteger a las víctimas.

En cambio, según los registros judiciales, Martino trabajaba en secreto con afiliados del grupo de ransomware BlackCat (también conocido como ALPHV), una de las operaciones de extorsión más notorias de los últimos años. En lugar de defender los intereses de sus clientes, supuestamente filtraba a los atacantes información confidencial desde el interior de las negociaciones que se suponía estaba llevando a cabo en nombre de las víctimas. Ese conocimiento interno, según los informes, ayudó a la banda a obtener pagos más elevados, y se estima que el esquema contribuyó a que se exprimieran aproximadamente 75 millones de dólares de las organizaciones víctimas en múltiples casos. Martino se declaró culpable y fue sentenciado a 70 meses de prisión federal.

Cómo el esquema socavó la negociación del ransomware

La negociación de ransomware existe porque las empresas que enfrentan un ataque a menudo carecen de la experiencia especializada para comunicarse con grupos criminales, evaluar la credibilidad de las amenazas o determinar si es aconsejable pagar un rescate. Se supone que firmas como DigitalMint actúan como un cortafuegos, utilizando su experiencia para reducir las demandas, verificar la capacidad de recuperación de datos y evitar que las víctimas sean explotadas por partida doble.

El caso de Martino pone ese modelo patas arriba. Al filtrar detalles sensibles de negociaciones en curso, incluyendo información interna del cliente, umbrales financieros y el estado de la ventaja de una víctima, entregó efectivamente a los afiliados de BlackCat el manual que necesitaban para presionar y obtener los pagos máximos. Se trata de una violación profunda de la confianza, no solo entre Martino y su empleador, sino entre este y todos los clientes que asumían que su equipo de respuesta a crisis trabajaba exclusivamente para ellos.

Este tipo de colusión interna es particularmente dañina porque las víctimas de ransomware ya se encuentran en una posición vulnerable. A menudo están bajo presión para tomar decisiones rápidas sobre datos sensibles, tiempo de inactividad operativa y exposición regulatoria. Casos como Instructure pagó rescate tras la brecha de Canvas muestran cómo las organizaciones a veces concluyen que el pago es la opción menos perjudicial. Cuando el negociador que maneja esa decisión tiene un incentivo financiero para trabajar en contra de la víctima, todo el cálculo utilizado para justificar un pago se ve comprometido.

Por qué este caso plantea mayores preocupaciones de privacidad para las empresas

Las implicaciones de privacidad aquí van mucho más allá de las pérdidas financieras inmediatas. Las negociaciones de ransomware suelen implicar compartir material altamente sensible: el alcance de los datos robados, evaluaciones de seguridad internas, comunicaciones ejecutivas y detalles sobre lo que una empresa está dispuesta a pagar. Las víctimas comparten esta información bajo el supuesto de que permanece dentro de un círculo estrechamente controlado de personal de respuesta de confianza.

Las acciones de Martino demuestran que el propio ecosistema de respuesta a incidentes puede convertirse en un punto de fallo. Incluso las organizaciones que hacen todo correctamente después de una brecha, contratando firmas de renombre, siguiendo protocolos recomendados y cooperando con las fuerzas del orden, pueden ver sus datos y su posición negociadora socavados desde dentro. Esto refleja las tácticas de presión observadas en otras campañas de extorsión de alto perfil, como las tácticas en escalada utilizadas cuando ShinyHunters desfiguró portales escolares durante su campaña de rescate de Canvas, donde los atacantes se apoyaron en la humillación pública y en la ventaja de los datos para forzar una resolución.

Qué significa esto para usted

Si su organización alguna vez se encuentra negociando con un grupo de ransomware, este caso es un recordatorio de que el proceso de selección de proveedores merece tanto escrutinio como sus herramientas de ciberseguridad. Pregunte a las posibles firmas de negociación sobre los controles internos, la verificación de empleados y cómo se segmentan y monitorean los datos del cliente durante un caso activo. Solicite claridad sobre quién tiene acceso a los detalles de la negociación y si alguna persona tiene autoridad sin control sobre las comunicaciones con los atacantes.

Para individuos y pequeñas empresas sin los recursos para una extensa debida diligencia de proveedores, la conclusión es más amplia: minimice los datos sensibles que podrían quedar expuestos en primer lugar. Buenas prácticas de copias de seguridad, segmentación de la red y limitar la cantidad de datos personales o financieros almacenados en sistemas de fácil acceso reducen la ventaja que un grupo de ransomware, o un informante comprometido, pueden tener sobre usted.

Puntos clave

  • Examine a las firmas de respuesta a incidentes y negociación con el mismo rigor que aplicaría a cualquier proveedor que maneje datos sensibles.
  • Pregunte cómo las firmas de negociación monitorean y auditan internamente el acceso de los empleados durante casos activos de ransomware.
  • Reduzca el volumen de datos sensibles almacenados en sistemas vulnerables a un compromiso, ya que una menor exposición significa menos ventaja para atacantes o informantes.
  • Trate la negociación de ransomware como una decisión que requiere su propia supervisión, no como una caja negra manejada enteramente por un tercero.

El caso de Martino es un ejemplo raro pero grave de traición interna dentro de la industria de respuesta al ransomware. No significa que no se pueda confiar ampliamente en las firmas de negociación, pero sí subraya que la confianza debe verificarse, no asumirse, especialmente cuando están en juego los detalles más sensibles de una brecha en una empresa.