Luotettu sisäpiiriläinen kääntyi omia asiakkaitaan vastaan

Kun yritys joutuu kiristysohjelmahyökkäyksen kohteeksi, se kutsuu yleensä neuvottelijan, jonka tehtävänä on kommunikoida hyökkääjien kanssa, arvioida tilannetta ja yrittää vähentää vahinkoja. Tämä suhde perustuu täysin luottamukseen. Entinen neuvottelija tietoturvayritys DigitalMintistä osoitti juuri, mitä tapahtuu, kun tuo luottamus petetään.

Angelo Martino, 41, tuomittiin 70 kuukaudeksi liittovaltion vankilaan salaliitosta BlackCat-kiristysohjelmaryhmän (tunnetaan myös nimellä ALPHV) kanssa työskennellessään neuvottelijana, jonka piti edustaa uhrien etuja. Sen sijaan, että Martino olisi puolustanut asiakkaitaan, hän käytti asemaansa syöttääkseen tietoja takaisin juuri niille rikollisille, joita hänen asiakkaansa yrittivät torjua, kertoo Help Net Securityn raportointi. Tapaus, jota käsitellään tarkemmin aiemmassa uutisessamme DigitalMint-neuvottelijan 70 kuukauden tuomiosta, nostaa esiin uhan, jota useimmat kiristysohjelmien uhrit eivät koskaan tule ajatelleeksi: henkilö, joka palkattiin suojelemaan heitä.

Miksi kiristysohjelmaneuvottelijoilla on hallussaan niin paljon arkaluonteista tietoa

Kiristysohjelmaneuvottelijat ovat ainutlaatuisen etuoikeutetussa asemassa. Voidakseen tehdä työnsä tehokkaasti, he tarvitsevat yleensä pääsyn tietoihin, joita useimmat uhrin organisaation työntekijät eivät koskaan näe: tietomurron laajuus, mitä tietoja varastettiin, kuinka paljon kybervakuutusta yrityksellä on ja kuinka paljon yritys on realistisesti valmis tai kykeneväinen maksamaan. Tämä tieto on hyökkääjälle kullanarvoista. Jos hyökkääjä tietää uhrin vakuutusrajat, hän voi esimerkiksi säätää lunnaiden vaatimusta puristaakseen suurimman mahdollisen maksun.

Juuri tämä tekee Martinon tapauksesta huomionarvoisen yksityisyydensuojan kannalta. Kyseessä ei ollut ulkopuolinen hakkeri, joka murtautui yrityksen järjestelmiin. Kyseessä oli sisäpiiriläinen, henkilö, joka tuotiin nimenomaan hänen roolinsa edellyttämän arkaluonteisen pääsyn vuoksi, ja hän väitetyllä tavalla käytti tätä pääsyä niitä vastaan, jotka hänet palkkasivat. Tietoturvan reagointi- ja neuvotteluyrityksiä on olemassa, koska useimmilla organisaatioilla ei ole erityistaitoja käsitellä kiristysohjelmakriisiä sisäisesti. Tämä ulkopuolisten asiantuntijoiden varaan rakentuminen on järkevää ja usein välttämätöntä, mutta se tarkoittaa myös, että uhri ulottaa luottamuksensa kolmanteen osapuoleen minimaalisella mahdollisuudella varmentaa itsenäisesti, onko tämä luottamus ansaittua.

Laajempi kiristysohjelmien ekosysteemi pakottaa uhrit jo nyt tekemään vaikeita yksityisyydensuojan kompromisseja. Lunnaiden maksaminen ei takaa, että varastetut tiedot poistetaan, ja neuvottelu hyvässä uskossa olettaa, että toinen osapuoli – ja kaikki, jotka sinulle neuvoja antavat – toimivat myös hyvässä uskossa. Tämän kaltainen tapaus horjuttaa tätä olettamusta tavalla, joka saattaa tehdä uhreista haluttomampia jakamaan kaikkia tietoja niille ammattilaisille, joiden on tarkoitus auttaa heitä, mahdollisesti hidastaen tietoturvatoimia juuri sillä hetkellä, kun nopeus on tärkeintä.

Mitä tämä tarkoittaa sinulle

Useimmat lukijat eivät koskaan henkilökohtaisesti palkkaa kiristysohjelmaneuvottelijaa, mutta taustalla oleva opetus pätee laajasti: kolmannen osapuolen toimittajat, joilla on pääsy arkaluonteisiin tietoihisi, ovat vain niin luotettavia kuin niiden organisaation heikoin lenkki. Olipa kyseessä asianajotoimisto, tietoturvan reagointiurakoitsija, pilvipalveluntarjoaja tai mikä tahansa henkilö- tai taloustietojasi käsittelevä yritys, tämän suhteen turvallisuus riippuu sisäisistä kontrolleista, joita et voi nähdä ulkoapäin.

Yrityksille tämä tapaus on muistutus esittää vaikeita kysymyksiä ennen kiristysohjelmahyökkäystä ja sen aikana. Kenellä neuvotteluyrityksessä on pääsy vakuutustietoihin ja maksuvaltuuksiin? Onko olemassa sisäisiä kontrolleja, jotka estävät yksittäistä työntekijää viestimästä suoraan uhkatekijöiden kanssa ilman valvontaa? Kirjataanko keskustelut ja tarkistetaanko ne? Nämä eivät ole kysymyksiä, joita useimmat yritykset tulevat ajatelleeksi kriisin keskellä, mutta niiden pitäisi olla osa ennakkotarkastusta ennen kuin tietomurtoa koskaan tapahtuu, ei sen jälkeen.

Yksityishenkilöille opetus on epäsuorempi mutta silti olennainen. Kun yritys, jonka kanssa asioit, kokee kiristysohjelmahyökkäyksen, tapahtuman käsittely – mukaan lukien se, kenellä on neuvottelujen aikana pääsy tietoihisi, jotka ovat vaarantuneet – on suurelta osin sinun hallintasi ulkopuolella. Tämä on yksi lisäsyy minimoida, kuinka paljon arkaluonteisia henkilötietoja jaat yhdenkään organisaation kanssa alun alkaen, ja käyttää työkaluja, kuten salasananhallintaohjelmia ja monivaiheista tunnistautumista, jotta yksittäinen tietomurto ei pääse leviämään laajemmaksi tilien vaarantumiseksi.

Oivalluksia sisäpiiririskien torjumiseksi

Tämä tuomio lähettää selvän signaalin siitä, että sisäpiiriläisen petos kiristysohjelmatilanteen aikana johtaa vakaviin oikeudellisiin seurauksiin, mutta ennaltaehkäisy on tärkeämpää kuin rangaistus jälkikäteen. Jos organisaatiosi työskentelee tietoturvan reagointi- tai neuvotteluyritysten kanssa, vaadi dokumentoituja pääsynvalvontakontrolleja, riippumatonta neuvottelujen valvontaa ja selkeää sopimuksenmukaista vastuuvelvollisuutta. Jos olet yksityishenkilö, jota koskee luottamaasi yritykseen kohdistunut tietomurto, suhtaudu ilmoituksiin vakavasti, vaihda uudelleenkäytetyt salasanat ja seuraa tilejä, jotka liittyvät kyseiseen organisaatioon.

Martinon tapaus tullaan todennäköisesti mainitsemaan varoittavana esimerkkinä kiristysohjelmaneuvottelijoiden alalla vuosien ajan. Kaikille muille se on hyödyllinen muistutus siitä, että kriisissä luottamus täytyy ansaita ja todentaa, ei olettaa.