Uutinen siitä, että kiristyshaittaohjelmaneuvottelija pidätettiin kiristyssyyteiden perusteella ja että hän on yrityksen toisperustaja, jonka puoleen uhrit kääntyvät avun saamiseksi, on järkyttänyt luottamukselle rakentuvaa alaa. Edward Dubrovsky, CYPFERin toisperustaja, yrityksen, joka neuvottelee kiristyshaittaohjelmaoperaattorien kanssa, pidätettiin 8. lokakuuta Pennsylvaniassa. Lehdistöraportit yhdistävät tapauksen ShinyHunters-ryhmään, mutta FBI ei ole vahvistanut yhteyttä.

Tämä kirjoitus pitäytyy siinä, mikä on raportoitu, nostaa esiin sen, mikä on vielä tuntematonta, ja selittää, miksi tarina on merkityksellinen organisaatioille ja yksityishenkilöille, jotka saattavat jonain päivänä kohdata kiristysvaatimuksen.

Mitä tiedämme Dubrovskyn pidätyksestä

Vahvistetut tosiasiat ovat rajallisia. Dubrovsky on CYPFERin toisperustaja, yrityksen, jonka työhön kuuluu neuvotteleminen kiristyshaittaohjelmaoperaattorien kanssa uhrien puolesta. Hänet pidätettiin 8. lokakuuta Pennsylvaniassa, ja syytteet liittyvät kiristykseen.

Sen lisäksi julkinen tieto on niukkaa. Raportoiva lähde ei erittele konkreettisia syytöksiä, mahdollisen väitetyn toiminnan aikajanaa tai sitä, vaikuttiko tapaus joihinkin CYPFERin asiakkaisiin. Pidätys ei ole tuomio, ja Dubrovskyllä on oikeus syyttömyysolettamaan. Lukijoiden kannattaa suhtautua varauksella kaikkiin kertomuksiin, jotka täyttävät nämä aukot varmuudella.

Mitä ShinyHunters-yhteys osoittaa ja mitä ei

Jotkin lehdistöjutut yhdistävät tapauksen ShinyHuntersiin, kiristyskampanjoista tunnettuun ryhmään. FBI ei ole vahvistanut tätä. Tällä erolla on merkitystä.

Mediayhteys voi tarkoittaa useita asioita: toimittaja on nähnyt oikeuden asiakirjoja, lähde on kuvannut tutkintaa tai tarkkailijat tekevät päätelmiä ajoituksesta. Mikään näistä ei ole sama kuin viranomaisten virallinen lausunto. Kunnes syyteasiakirjat tai viraston lausunto erittelevät yhteyden, sitä on pidettävä raportoituna assosiaationa, ei vahvistettuna tosiasiana.

Kannattaa myös muistaa, että kiristysryhmät itse ovat epäluotettavia kertojia. Niiden väitteet on usein suunniteltu painostamaan uhreja, kuten käy ilmi tarkastelustamme siitä, miten Carharttin tietomurtoväitteet puolitettiin Troy Huntin arvion jälkeen. Skeptisyys koskee jokaista osapuolta tällaisessa tarinassa, myös nimettömiä lähteitä.

Miten kiristyshaittaohjelmaneuvotteluyritykset toimivat ja missä riskit piilevät

Kun yritykseen iskee kiristyshaittaohjelma, se soittaa usein incident response -yritykselle. Jotkin näistä yrityksistä erikoistuvat viestimään hyökkääjien kanssa: vahvistamaan, mitä tietoja vietiin, voittamaan aikaa ja joskus neuvottelemaan maksusta. Uhrit antavat näille yrityksille tyypillisesti syvän pääsyn arkaluontoisiin tietoihin, mukaan lukien tietomurron laajuus, organisaation taloudelliset rajat ja se, kuinka kiireellisesti se tarvitsee järjestelmänsä takaisin.

Juuri tämä pääsy luo riskin. Neuvottelija istuu epätoivoisen uhrin ja rikollisen välissä, eikä uhri yleensä voi varmistaa, mitä näissä keskusteluissa sanotaan. Ala on myös kevyesti säänneltyä, joten asiakkaat ovat vahvasti riippuvaisia yrityksen maineesta ja etiikasta.

Tämä ei ole ensimmäinen kerta, kun ala on joutunut tarkastelun kohteeksi. Käsittelimme äskettäin, miten Monster Cloudin perustaja Zohar Pinhasi pidätettiin lunastusvaatimuksiin liittyen, mikä niin ikään nosti valokeilaan incident response -alan epämukavan nurkkauksen. Kaksi tapausta ei todista trendiä, mutta ne houkuttelevat esittämään tarkempia kysymyksiä valvonnasta.

Mitä pidätys merkitsee uhreille ja lainvalvonnalle

Lainvalvonnan kannalta neuvotteluyrityksen toisperustajan pidätys viittaa siihen, että tutkijat ovat valmiita tarkastelemaan kiristyshaittaohjelmien ympärillä olevia välittäjiä, ei vain rikollisryhmiä itseään. Tämän tapauksen yksityiskohdat eivät ole vielä selvinneet, joten on liian aikaista sanoa, kuinka pitkälle tällainen lähestymistapa ulottuu.

Uhreille tapaus on muistutus siitä, että neuvottelijan palkkaaminen on päätös, joka ansaitsee asianmukaisen taustatarkastuksen, ei paniikkiostos.

Mitä tämä tarkoittaa sinulle

Jos johdat tai neuvot organisaatiota, tämä tarina ei ole syy välttää ammattiapua hyökkäyksen aikana. Kokeneet vastaajat voivat olla arvokkaita. Se on syy tarkastaa apu huolellisesti.

Jos olet yksityishenkilö, käytännön vaikutus on epäsuora. Monet henkilötietoja paljastavat tietomurrot päättyvät kiristykseen, ja näitä neuvotteluja hoitavat henkilöt vaikuttavat siihen, miten tietojasi kohdellaan. Suhtaudu hyökkääjien väitteisiin ja vahvistamattomiin lehtiviittauksiin varauksella, kunnes ne on vahvistettu.

Käytännön johtopäätökset

  • Tarkasta incident response -kumppanisi etukäteen. Kysy taustatarkastuksista, eturistiriitakäytännöistä ja siitä, miten neuvotteluviestintä dokumentoidaan.
  • Pidä kirjaa ja valvo. Varmista, että johto ja oikeudellinen neuvonantaja voivat nähdä neuvottelujen tallenteet ja päätökset.
  • Ota lainvalvonta mukaan varhain. Ilmoita tapauksista asianmukaisille viranomaisille sen sijaan, että luottaisit pelkästään yksityisiin välittäjiin.
  • Erota syytös tosiasiasta. ShinyHunters-yhteys on vahvistamaton. Odota virallista vahvistusta ennen johtopäätösten tekemistä.
  • Lue laajempaa kaavaa. Monster Cloudin pidätys sopii kaavaan, jossa neuvottelijoita tarkastellaan kriittisesti, ja yllä oleva Carhartt-juttu osoittaa, miksi kiristysryhmien väitteisiin tulee suhtautua kriittisesti.

Tarina kiristyssyyteiden perusteella pidätetystä kiristyshaittaohjelmaneuvottelijasta on vielä kehittymässä. Tarkista viralliset päivitykset ennen näkemyksen muodostamista ja käytä tätä hetkeä sen arvioimiseen, kehen luottaisit kriisissä.