Tunnetun kiristysohjelmien neuvottelijan pidätys, josta Dark Reading uutisoi, on nostanut esiin kiusallisen kysymyksen jokaiselle organisaatiolle, joka on koskaan joutunut suunnittelemaan tietomurron varalle: mitä tapahtuu, kun henkilö, jonka palkkaat hoitamaan asioita hyökkääjien kanssa, työskenteleekin toiselle puolelle? Tapaus on terävä muistutus siitä, että kiristysohjelmien neuvottelijoiden sisäpiiriuhatarkistus kuuluu jokaiseen incident response -suunnitelmaan, ei vain sen ympärillä oleviin teknisiin kontrolleihin.
Lähdeartikkeli kehystää opetuksen tarpeeksi vahvemmalle toimittajaohjelmien valvonnalle. Tässä kirjoituksessa tarkastellaan, miten neuvottelu toimii, mitä pidätys paljastaa ja mitä pienyritykset ja tietosuojastaan huolestuneet käyttäjät voivat asialle tehdä.
Miten kiristysohjelmien kiristys ja neuvottelu todella toimivat
Kun yritykseen iskee kiristysohjelma, yksi ensimmäisistä puheluista soitetaan usein ammattimaiselle neuvottelijalle. Hänen tehtävänsä on viestiä hyökkääjien kanssa, arvioida tilanne ja yrittää pienentää vahinkoja. Hän toimii puskurina paniikissa olevien uhrien ja rikollisten välillä, jotka saattavat vaatia maksua järjestelmien palauttamiseksi tai varastetun datan pitämiseksi salassa.
Tämä järjestely toimii vain, jos uhri luottaa välittäjään täysin. Neuvottelija näkee lunnaiden vaatimuksen, saa tietää, mitä dataa on viety, ja ymmärtää usein, kuinka paljon uhri voi maksaa ja kuinka kiireesti tämä tarvitsee järjestelmänsä takaisin. Uhrilla on yleensä vain vähän mahdollisuuksia tarkistaa mitään itsenäisesti. He ovat kriisissä, aika on vähissä ja he nojaavat neuvottelijan asiantuntemukseen.
Kiristyksen hallitseminen käy myös yhä vaikeammaksi. The Registerin raportoima maailmanlaajuinen kysely havaitsi, että 37 % kiristysohjelmahyökkäyksistä sisältää nyt henkilökohtaisia uhkia, olivatpa ne psykologisia tai fyysisiä. Kun paine uhreja kohtaan kasvaa, myös heidän riippuvuutensa heitä ohjaavista henkilöistä kasvaa.
Mitä neuvottelijan pidätys paljastaa sisäpiiririskistä
Suurin osa turvallisuussuunnittelusta keskittyy ulkopuolisiin hyökkääjiin ja vähemmässä määrin työntekijöihin. Kolmansiin osapuoliin eli toimittajiin suhtaudutaan usein oletusarvoisesti luotettuina, erityisesti hätätilanteessa mukaan tuotuihin asiantuntijoihin. Pidätys osoittaa tämän oletuksen heikkouden. Välittäjällä, jolla on pääsy arkaluontoisiin neuvotteluihin, on valtava vipuvoima, ja jos tämän henkilön edut eroavat asiakkaan eduista, asiakas ei ehkä koskaan saa tietää siitä.
Tämä ei ole puhtaasti hypoteettinen huoli. vpn.socialin aiheeseen liittyvä uutisointi kertoo, miten ex-DigitalMint-neuvottelija sai 70 kuukautta BlackCat-sopimuksesta, ja erillinen raportti käsittelee, miten neuvottelija Martino tuomittiin 70 kuukaudeksi BlackCat-yhteyksien vuoksi. Nämä artikkelit käsittelevät tapauksen konkreettisia yksityiskohtia, ja ne alleviivaavat laajempaa pointtia: neuvottelijasuhde nojaa luottamukseen, jota harvoin auditoidaan.
Dark Readingin uutisoinnin opetus ei ole se, että kaikki neuvottelijat ovat epäilyttäviä. Vaan se, että toimittaja, jolla on näin paljon pääsyä, ansaitsee saman tarkastelun kuin mikä tahansa muu korkean riskin sisäpiiriläinen.
Mitä uhrit ja heidän datansa altistuvat, kun toimittaja vaarantuu
Jos neuvottelija tai muu incident response -toimittaja vaarantuu tai toimii asiakasta vastaan, altistuminen voi ulottua paljon lunnaita pidemmälle. Neuvottelijan roolin perusteella huolenaiheita ovat muun muassa:
- Neuvottelustrategia: uhrin budjetti, määräajat ja halukkuus maksaa ovat kaikki välittäjän nähtävissä.
- Varastetun datan yksityiskohdat: neuvottelijat saavat yleensä tietää, mitä on viety, millä on merkitystä kaikille, joiden henkilötiedot olivat kyseisissä tiedostoissa.
- Päätöksenteko: neuvot siitä, kannattaako maksaa, viivyttää vai vastustaa, muovaavat lopputulosta yritykselle ja vaikutuksen kohteena oleville ihmisille.
- Viestintä: jokainen viesti hyökkääjille ja heiltä kulkee neuvottelijan kautta.
Yksityishenkilöille riski on epäsuora mutta todellinen. Asiakkailla, potilailla ja työntekijöillä, joiden data on murretussa organisaatiossa, ei ole sananvaltaa siihen, mikä toimittaja valitaan, mutta he kantavat seuraukset, jos valinta menee pieleen.
Miten tietomurron jälkeiset toimittajat tarkistetaan ennen kuin niitä tarvitaan
Paras hetki arvioida neuvottelija tai incident response -yritys on ennen hyökkäystä, jolloin voit esittää kysymyksiä rauhassa. Lähdeartikkeli peräänkuuluttaa vahvempaa toimittajaohjelmien valvontaa, ja nämä vaiheet ovat käytännöllinen tapa soveltaa ajatusta. Ne ovat yleistä hyvää käytäntöä, eivät tapauksesta johdettuja vaatimuksia.
- Valitse toimittajat etukäteen. Yrityksen valitseminen paineen alla ei jätä tilaa due diligence -tarkastukselle. Rakenna tarkistettu ehdokaslista osana incident response -suunnitelmaasi.
- Kysy sisäisistä kontrolleista. Miten yritys tarkistaa oman henkilöstönsä? Kuka voi päästä käsiksi asiakkaiden neuvotteluihin, ja kirjataanko ja tarkistetaanko tämä pääsy?
- Kirjaa odotukset sopimukseen. Sopimusten tulisi kattaa luottamuksellisuus, eturistiriidat ja mahdollisten suhteiden paljastaminen uhkaajiin tai muihin osapuoliin.
- Pidä toinen näkökulma päätöksissä. Varmista, että oma johtosi, lakimiehesi tai vakuuttajasi tarkistaa merkittävät valinnat sen sijaan, että ne jätetään yhdelle henkilölle.
- Rajoita datan jakamista. Anna toimittajille vain se, mitä he tarvitsevat, ja pidä kirjaa siitä, mitä he ovat saaneet.
- Tarkista suhde säännöllisesti. Käsittele incident response -toimittajia osana kolmannen osapuolen riskiohjelmaasi määräaikaisin tarkistuksin, ei kertaluonteisella hyväksynnällä.
Mitä tämä tarkoittaa sinulle
Jos pyörität pienyritystä, sinulla ei ehkä ole omaa turvallisuustiimiä, mikä tekee toimittajien luottamuksesta entistä tärkeämpää. Kysy kybervakuuttajaltasi tai IT-palveluntarjoajaltasi, kenen incident response -yritysten kanssa he työskentelevät, ja ota selvää, miten näitä yrityksiä valvotaan. Muutama nyt esitetty kysymys maksaa paljon vähemmän kuin huono päätös kriisin keskellä.
Jos olet yksityishenkilö, käytännöllinen askel on rajoittaa sitä, mitä organisaatiot tietävät sinusta. Jaa vain data, jota palvelu todella tarvitsee, käytä yksilöllisiä salasanoja ja monivaiheista tunnistautumista, ja seuraa tietomurtoilmoituksia, jotta voit toimia nopeasti, jos tietosi paljastuvat. Et voi tarkistaa yrityksen incident response -toimittajaa, mutta voit pienentää vahinkoja, jos jotain menee pieleen.
Keskeiset opit
Tunnetun kiristysohjelmien neuvottelijan pidätys on muistutus siitä, että välittäjät voivat olla sisäpiiririski, ja että kiristysohjelmien neuvottelijoiden sisäpiiriuhatarkistuksen tulisi olla varmuuskopioiden ja päivitysten rinnalla valmiussuunnitelmassasi. Valitse toimittajat ennen kriisiä, kysy vaikeita kysymyksiä heidän kontrolleistaan ja pidä merkittävät päätökset riippumattoman valvonnan alaisina.
Konkreettisia tapauksen yksityiskohtia varten lue uutisointimme tuomitusta ex-DigitalMint-neuvottelijasta. Nähdäksesi, miksi toimittajien luottamus on entistä tärkeämpää kiristyksen kiihtyessä, tutustu kyselyyn henkilökohtaisista uhista kiristysohjelmahyökkäyksissä.
