Que s’est-il passé : le négociateur qui travaillait pour les deux camps

Lorsqu’une entreprise est frappée par un ransomware, l’un des premiers appels qu’elle passe est à un négociateur : un spécialiste de confiance chargé d’intercéder entre une victime paniquée et un gang criminel, afin de réduire la demande de rançon ou de gagner du temps pour la récupération. Cette relation repose entièrement sur la confiance. Selon des informations rapportées par Malwarebytes, l’un de ces négociateurs a rompu cette confiance de la manière la plus préjudiciable qui soit. Au lieu d’aider les victimes à résister au gang de ransomware BlackCat, il a secrètement transmis aux criminels des informations issues des négociations qu’il était censé mener pour le compte des victimes.

Le résultat a été un scénario de menace interne de négociateur en ransomware qui a coûté des millions aux victimes. Plutôt que de jouer le rôle d’un pare-feu entre une entreprise et son attaquant, le négociateur est devenu de fait un second attaquant, disposant d’un accès privilégié aux limites financières, à la stratégie juridique et à la disposition à payer de la victime. C’est à peu près le pire échec possible dans une réponse à incident, car cela transforme en fardeau la protection même que les organisations paient pour obtenir.

Comment les gangs de ransomware-as-a-service recrutent des intermédiaires de confiance

BlackCat, également connu sous le nom d’ALPHV, opère comme un groupe de ransomware-as-a-service (RaaS), ce qui signifie qu’il concède ses logiciels malveillants et son infrastructure à des affiliés qui mènent les attaques et partagent les bénéfices. Ce modèle économique a toujours reposé sur la constitution de réseaux de personnes prêtes à coopérer pour une part des recettes, depuis les courtiers d’accès initial qui vendent des identifiants volés jusqu’aux affiliés qui déploient la charge utile de chiffrement. Un négociateur compromis ou complice n’est que la prochaine extension logique de ce réseau : une personne intégrée dans l’écosystème légitime de réponse aux incidents, capable de partager des renseignements que le gang ne pourrait jamais obtenir par ses propres moyens.

C’est précisément pourquoi cette affaire est importante au-delà de BlackCat lui-même. Les gangs de ransomware comprennent de plus en plus que le maillon faible d’une réponse à une violation n’est pas toujours un pare-feu ou un serveur non corrigé. Il peut s’agir d’une personne, et plus précisément d’une personne que la victime a choisi de faire confiance au moment le plus stressant d’un incident de sécurité. Ce même principe d’exploitation de la confiance et de l’accès se retrouve dans tout le paysage des ransomwares et de l’extorsion de données, y compris dans des incidents comme la violation des systèmes RH du Conseil de l’Europe par ShinyHunters, où les attaquants ont à nouveau démontré avec quelle efficacité les groupes criminels peuvent tirer parti d’un accès interne une fois qu’ils ont trouvé un moyen d’entrer.

Pourquoi cela élargit la surface d’attaque pour les victimes de violations

La plupart des organisations envisagent le risque de ransomware en fonction de leur propre réseau : postes de travail, serveurs, sauvegardes, formation des employés. Beaucoup moins prennent en compte le risque introduit par les fournisseurs et consultants qu’elles font intervenir une fois l’attaque déjà commencée. Mais un négociateur, tout comme un enquêteur judiciaire ou un coach en gestion de crise, a souvent accès à certaines des informations les plus sensibles que possède une entreprise en période de crise : le montant de la rançon que la victime est prête à payer, quelles données ont effectivement été volées et à quel point l’organisation est désespérée pour éviter une divulgation publique.

Lorsque cet accès est abusé, les dégâts se multiplient. Les victimes ne perdent pas seulement de l’argent du fait de la rançon elle-même, elles perdent tout levier dont elles disposaient dans les négociations, car le gang connaît déjà leur limite avant même le début des pourparlers. Cette affaire nous rappelle que la chaîne d’approvisionnement de la réponse aux incidents mérite la même vigilance que toute autre relation fournisseur, et que la confiance en situation de crise ne doit jamais être présumée simplement parce que quelqu’un porte le bon titre de poste.

Comment évaluer les intervenants en incident et les négociateurs avant qu’une crise ne survienne

Le meilleur moment pour évaluer un négociateur en ransomware ou une entreprise de réponse aux incidents est avant qu’une attaque ne se produise, et non pendant celle-ci, lorsque la pression du temps rend une vérification préalable minutieuse quasiment impossible. Les organisations peuvent prendre plusieurs mesures concrètes :

  • Confirmer les antécédents de l’entreprise et demander des références d’anciens clients ayant vécu des incidents similaires.
  • Demander comment l’entreprise évalue son propre personnel, y compris les vérifications des antécédents et les contrôles internes sur qui peut accéder aux détails des négociations.
  • Exiger des journaux de communication documentés et vérifiables pendant toute négociation, plutôt que de se fier uniquement à un point de contact unique.
  • Faire intervenir un conseiller juridique externe ou un deuxième conseiller en sécurité pour vérifier de manière indépendante les décisions majeures, comme les montants de la rançon ou le calendrier des paiements.
  • Établir ces relations et contrats avec les fournisseurs à l’avance, dans le cadre d’un contrat de réponse aux incidents, plutôt que de chercher de l’aide dans la précipitation en pleine violation.

Ce que cela signifie pour vous

Si votre organisation dispose d’un plan de réponse aux ransomwares, cette affaire est une bonne occasion de réexaminer qui figure réellement sur ce plan et à quel point vous connaissez ces personnes. Une menace interne de négociateur en ransomware est rare, mais les conséquences sont suffisamment graves pour qu’un effort modeste de vérification préalable en vaille la peine. La même logique s’applique à tout tiers bénéficiant d’un accès privilégié lors d’une violation : les enquêteurs judiciaires, les conseillers juridiques et les agences de relations publiques méritent tous le même degré d’attention que vous accorderiez à un nouvel éditeur de logiciels.

Principaux enseignements

  • Évaluez les entreprises de réponse aux incidents et de négociation avant une crise, en incluant les vérifications des antécédents du personnel et les références.
  • Exigez des journaux documentés et vérifiables de toutes les négociations de rançon, plutôt que de vous fier à une seule personne de confiance.
  • Considérez les intervenants tiers comme faisant partie de votre surface d’attaque, et non seulement de votre défense.
  • Tenez-vous informé de la manière dont les groupes de ransomware et d’extorsion exploitent la confiance à chaque étape d’une violation, de l’accès initial à la négociation finale.