Un informante de confianza se volvió contra sus propios clientes

Cuando una empresa sufre un ataque de ransomware, generalmente recurre a un negociador, alguien cuyo trabajo es comunicarse con los atacantes, evaluar la situación e intentar reducir los daños. Esa relación depende enteramente de la confianza. Un exnegociador de la firma de respuesta a incidentes DigitalMint acaba de mostrar lo que sucede cuando esa confianza se rompe.

Angelo Martino, de 41 años, fue sentenciado a 70 meses de prisión federal por conspirar con el grupo de ransomware BlackCat (también conocido como ALPHV) mientras trabajaba como negociador supuestamente representando los intereses de las víctimas. En lugar de defender únicamente a sus clientes, Martino utilizó su posición para pasar información a los mismos delincuentes de los que sus clientes intentaban protegerse, según reportó Help Net Security. El caso, detallado en nuestra cobertura anterior sobre la sentencia de 70 meses del negociador de DigitalMint, pone de relieve una amenaza que la mayoría de las víctimas de ransomware nunca piensan en considerar: la persona contratada para protegerlos.

Por qué los negociadores de ransomware manejan tantos datos confidenciales

Los negociadores de ransomware ocupan una posición singularmente privilegiada. Para hacer bien su trabajo, normalmente necesitan acceder a detalles que la mayoría de los empleados de una organización víctima nunca ven: el alcance de la violación, qué datos fueron robados, cuánta cobertura de ciberseguro tiene la empresa y cuánto está realmente dispuesta o en condiciones de pagar. Esa información es oro para un atacante. Conocer los límites del seguro de una víctima, por ejemplo, permite a un grupo de ransomware calibrar su demanda de rescate para obtener el máximo pago posible.

Esto es precisamente lo que hace notable el caso Martino desde el punto de vista de la privacidad. No fue un hacker externo que irrumpió en los sistemas de una empresa. Fue un informante, alguien contratado específicamente por el acceso confidencial que requería su función, que presuntamente usó ese acceso contra las personas que lo contrataron. Existen firmas de respuesta a incidentes y negociación porque la mayoría de las organizaciones no tienen las habilidades especializadas para manejar internamente una crisis de ransomware. Esa dependencia de expertos externos es razonable y a menudo necesaria, pero también significa que las víctimas depositan su confianza en un tercero con una capacidad mínima para verificar de forma independiente que esa confianza está justificada.

El ecosistema más amplio del ransomware ya obliga a las víctimas a hacer difíciles concesiones en materia de privacidad. Pagar un rescate no garantiza que los datos robados vayan a ser eliminados, y negociar de buena fe supone que la otra parte, y todos los que te asesoran, también actúan de buena fe. Un caso como este socava esa suposición de una manera que podría hacer que las víctimas duden más a la hora de revelar toda la información a los mismos profesionales que deberían ayudarlas, lo que podría ralentizar la respuesta a incidentes en el momento más crítico.

Lo que esto significa para usted

La mayoría de los lectores nunca contratarán personalmente a un negociador de ransomware, pero la lección subyacente es aplicable en general: los proveedores externos con acceso a sus datos confidenciales son tan confiables como el eslabón más débil dentro de la organización de ese proveedor. Ya sea un bufete de abogados, un contratista de respuesta a incidentes, un proveedor de nube o cualquier empresa que maneje su información personal o financiera, la seguridad de esa relación depende de controles internos que usted no puede ver desde fuera.

Para las empresas, este caso es un recordatorio para hacer preguntas difíciles antes y durante un incidente de ransomware. ¿Quién en la firma negociadora tiene acceso a los detalles del seguro y a la autoridad de pago? ¿Existen controles internos que impidan que un solo empleado se comunique directamente con los actores de amenazas sin supervisión? ¿Se registran y revisan las conversaciones? Estas no son preguntas en las que la mayoría de las empresas piensen hacer en medio de una crisis, pero deberían formar parte de la diligencia debida antes de que ocurra una violación, no después.

Para los particulares, la conclusión es más indirecta pero sigue siendo relevante. Cuando una empresa con la que usted hace negocios sufre un ataque de ransomware, la gestión de ese incidente, incluyendo quién tiene acceso a sus datos comprometidos durante las negociaciones, está en gran medida fuera de su control. Esa es una razón más para minimizar la cantidad de datos personales confidenciales que comparte con cualquier organización en primer lugar, y para usar herramientas como gestores de contraseñas y autenticación multifactor para que una sola violación no pueda derivar en un compromiso más amplio de sus cuentas.

Conclusiones para anticiparse al riesgo interno

Esta sentencia envía una señal clara de que la traición interna durante una respuesta a un ransomware conlleva graves consecuencias legales, pero la prevención importa más que el castigo a posteriori. Si su organización trabaja con firmas de respuesta a incidentes o negociación, insista en controles de acceso documentados, supervisión independiente de las negociaciones y una clara rendición de cuentas contractual. Si usted es un particular afectado por una violación en una empresa en la que confía, tómese las notificaciones en serio, cambie las contraseñas reutilizadas y supervise las cuentas vinculadas a esa organización.

Es probable que el caso Martino se cite durante años como ejemplo de advertencia en el ámbito de los negociadores de ransomware. Para todos los demás, es un recordatorio útil de que la confianza en una crisis debe ganarse y verificarse, no darse por sentada.