Un initié de confiance devenu complice

Lorsqu’une entreprise est victime d’un rançongiciel, elle fait souvent appel à un négociateur spécialisé pour gérer la conversation délicate et à haut risque avec les attaquants. C’est exactement le rôle que jouait Angelo Martino, 41 ans, chez DigitalMint, une entreprise qui aide les organisations à faire face aux incidents de rançongiciel et à négocier les paiements en leur nom. Martino était appelé lors de cas de violation actifs, se tenant du côté de la table censé protéger les victimes.

Au lieu de cela, selon les documents judiciaires, Martino travaillait secrètement avec des affiliés du groupe de rançongiciel BlackCat (également connu sous le nom d’ALPHV), l’une des opérations d’extorsion les plus notoires de ces dernières années. Plutôt que de défendre les intérêts de ses clients, il aurait fourni aux attaquants des informations confidentielles issues des négociations qu’il était censé mener pour le compte des victimes. Ces renseignements internes auraient aidé le gang à obtenir des paiements plus élevés, les rapports indiquant que ce stratagème a contribué à soutirer environ 75 millions de dollars aux organisations victimes dans plusieurs affaires. Martino a plaidé coupable et a été condamné à 70 mois de prison fédérale.

Comment ce stratagème a sapé la négociation en cas de rançongiciel

La négociation en matière de rançongiciel existe parce que les entreprises victimes d’une attaque manquent souvent de l’expertise spécialisée pour communiquer avec les groupes criminels, évaluer la crédibilité des menaces ou déterminer s’il est même conseillé de payer une rançon. Des entreprises comme DigitalMint sont censées agir comme un pare-feu, en utilisant leur expérience pour réduire les demandes, vérifier les capacités de récupération des données et empêcher que les victimes ne soient exploitées deux fois.

L’affaire Martino renverse ce modèle. En divulguant des détails sensibles issus de négociations en cours, y compris des informations internes sur les clients, les seuils financiers et l’état des leviers de négociation de la victime, il a pratiquement remis aux affiliés de BlackCat le manuel dont ils avaient besoin pour exiger des paiements maximaux. Il s’agit d’une violation profonde de la confiance, non seulement entre Martino et son employeur, mais aussi entre son employeur et chaque client qui pensait que son équipe d’intervention de crise travaillait exclusivement pour eux.

Ce type de collusion interne est particulièrement préjudiciable car les victimes de rançongiciel sont déjà dans une position vulnérable. Elles sont souvent sous pression pour prendre des décisions rapides concernant des données sensibles, les temps d’arrêt opérationnels et l’exposition réglementaire. Des cas comme le paiement de la rançon par Instructure après la violation de Canvas montrent que les organisations concluent parfois que le paiement est l’option la moins dommageable disponible. Lorsque le négociateur qui gère cette décision a un intérêt financier à agir contre la victime, tout le calcul utilisé pour justifier un paiement devient compromis.

Pourquoi cette affaire soulève des préoccupations plus larges en matière de vie privée pour les entreprises

Les implications en matière de vie privée vont bien au-delà des pertes financières immédiates. Les négociations de rançongiciel impliquent généralement le partage d’informations hautement sensibles : l’étendue des données volées, les évaluations internes de la sécurité, les communications de la direction et les détails sur ce que l’entreprise est prête à payer. Les victimes partagent ces informations en partant du principe qu’elles restent dans un cercle étroitement contrôlé d’intervenants de confiance.

Les actes de Martino démontrent que l’écosystème même de réponse aux incidents peut devenir un point de défaillance. Même les organisations qui font tout correctement après une violation – engager des entreprises réputées, suivre les protocoles recommandés et coopérer avec les forces de l’ordre – peuvent voir leurs données et leur position de négociation compromises de l’intérieur. Cela fait écho aux tactiques de pression observées dans d’autres campagnes d’extorsion très médiatisées, telles que les tactiques d’escalade utilisées lorsque ShinyHunters a défiguré les portails scolaires lors de sa campagne de rançon Canvas, où les attaquants se sont appuyés sur l’humiliation publique et l’effet de levier des données pour forcer une résolution.

Ce que cela signifie pour vous

Si votre organisation se retrouve un jour en train de négocier avec un groupe de rançongiciel, cette affaire rappelle que le processus de sélection des fournisseurs mérite autant d’attention que vos outils de cybersécurité. Interrogez les potentiels cabinets de négociation sur les contrôles internes, la vérification des antécédents des employés et la manière dont les données des clients sont segmentées et surveillées pendant un cas actif. Demandez des éclaircissements sur qui a accès aux détails des négociations et si une personne dispose d’une autorité sans contrôle sur les communications avec les attaquants.

Pour les particuliers et les petites entreprises qui n’ont pas les ressources nécessaires pour une diligence raisonnable étendue vis-à-vis des fournisseurs, la leçon est plus large : minimisez les données sensibles qui pourraient être exposées en premier lieu. De bonnes pratiques de sauvegarde, la segmentation du réseau et la limitation de la quantité de données personnelles ou financières stockées dans des systèmes facilement accessibles réduisent tous l’effet de levier qu’un groupe de rançongiciel, ou un initié compromis, peut exercer sur vous.

Points clés à retenir

  • Vérifiez les entreprises de réponse aux incidents et de négociation avec la même rigueur que vous appliqueriez à tout fournisseur traitant des données sensibles.
  • Demandez comment les entreprises de négociation surveillent et auditent en interne l’accès des employés pendant les cas de rançongiciel actifs.
  • Réduisez le volume de données sensibles stockées dans les systèmes vulnérables à la compromission, car moins d’exposition signifie moins de levier pour les attaquants ou les initiés.
  • Traitez la négociation d’un rançongiciel comme une décision nécessitant sa propre surveillance, et non comme une boîte noire gérée entièrement par un tiers.

L’affaire Martino est un exemple rare mais grave de trahison interne au sein du secteur de la réponse aux rançongiciels. Cela ne signifie pas qu’on ne peut pas faire largement confiance aux entreprises de négociation, mais cela souligne que la confiance doit être vérifiée, pas présumée, surtout lorsque les détails les plus sensibles de la violation d’une entreprise sont en jeu.