Un initié de confiance s’est retourné contre ses propres clients

Lorsqu’une entreprise est victime d’un ransomware, elle fait généralement appel à un négociateur, une personne dont le travail consiste à communiquer avec les attaquants, à évaluer la situation et à tenter de réduire les dégâts. Cette relation repose entièrement sur la confiance. Un ancien négociateur de la société de réponse aux incidents DigitalMint vient de montrer ce qui arrive quand cette confiance est brisée.

Angelo Martino, 41 ans, a été condamné à 70 mois de prison fédérale pour avoir conspiré avec le groupe de ransomware BlackCat (également connu sous le nom d’ALPHV) alors qu’il travaillait comme négociateur censé représenter les intérêts des victimes. Au lieu de défendre uniquement ses clients, Martino a utilisé sa position pour transmettre des informations aux criminels que ses clients tentaient de repousser, selon un article de Help Net Security. Cette affaire, détaillée plus longuement dans notre article précédent sur la peine de 70 mois de prison du négociateur de DigitalMint, met en lumière une menace à laquelle la plupart des victimes de ransomware ne pensent jamais : la personne embauchée pour les protéger.

Pourquoi les négociateurs en ransomware détiennent autant de données sensibles

Les négociateurs en ransomware occupent une position privilégiée unique. Pour accomplir leur mission efficacement, ils ont généralement besoin d’accéder à des détails que la plupart des employés d’une organisation victime ne voient jamais : l’étendue de la compromission, quelles données ont été dérobées, le montant de la couverture de cyber-assurance de l’entreprise, et combien l’entreprise est réellement disposée ou en mesure de payer. Cette information est une mine d’or pour un attaquant. Connaître les limites d’assurance d’une victime, par exemple, permet à un groupe de ransomware d’ajuster sa demande de rançon pour en tirer le paiement maximum possible.

C’est précisément ce qui rend l’affaire Martino remarquable du point de vue de la vie privée. Il ne s’agissait pas d’un pirate externe s’introduisant dans les systèmes d’une entreprise. C’était un initié, une personne engagée spécifiquement en raison de l’accès sensible exigé par son rôle, et qui aurait utilisé cet accès contre ceux qui l’avaient embauchée. Les sociétés de réponse aux incidents et de négociation existent parce que la plupart des organisations ne disposent pas des compétences spécialisées pour gérer une crise de ransomware en interne. Cette dépendance à l’égard d’experts externes est raisonnable et souvent nécessaire, mais cela signifie aussi que les victimes accordent leur confiance à un tiers avec une capacité minimale de vérifier indépendamment que cette confiance est justifiée.

L’écosystème plus large des ransomwares oblige déjà les victimes à faire des compromis difficiles en matière de vie privée. Payer une rançon ne garantit pas que les données volées seront supprimées, et négocier de bonne foi suppose que l’autre partie, ainsi que tous ceux qui vous conseillent, agissent également de bonne foi. Une affaire comme celle-ci ébranle cette hypothèse d’une manière qui pourrait rendre les victimes plus réticentes à divulguer pleinement les informations aux professionnels censés les aider, ce qui risque de ralentir la réponse aux incidents au moment où elle est la plus cruciale.

Ce que cela signifie pour vous

La plupart des lecteurs n’auront jamais à embaucher personnellement un négociateur en ransomware, mais la leçon sous-jacente s’applique largement : les prestataires tiers ayant accès à vos données sensibles ne sont aussi fiables que le maillon le plus faible au sein de leur propre organisation. Qu’il s’agisse d’un cabinet d’avocats, d’un sous-traitant en réponse aux incidents, d’un fournisseur de cloud, ou de toute entreprise qui traite vos informations personnelles ou financières, la sécurité de cette relation dépend de contrôles internes que vous ne pouvez pas voir de l’extérieur.

Pour les entreprises, cette affaire rappelle qu’il faut poser des questions difficiles avant et pendant un incident de ransomware. Qui, au sein de la société de négociation, a accès aux détails de l’assurance et à l’autorisation de paiement ? Existe-t-il des contrôles internes empêchant un employé seul de communiquer directement avec des acteurs malveillants sans supervision ? Les conversations sont-elles enregistrées et examinées ? Ce ne sont pas des questions auxquelles la plupart des entreprises pensent à poser en pleine crise, mais elles devraient faire partie de la diligence raisonnable avant qu’une violation ne se produise, pas après.

Pour les particuliers, l’enseignement est plus indirect, mais tout aussi pertinent. Lorsqu’une entreprise avec laquelle vous faites affaire subit une attaque par ransomware, la gestion de cet incident, y compris qui a accès à vos données compromises pendant les négociations, échappe en grande partie à votre contrôle. C’est une raison de plus de réduire au minimum la quantité de données personnelles sensibles que vous partagez avec une seule organisation, et d’utiliser des outils comme les gestionnaires de mots de passe et l’authentification multifacteur pour qu’une seule compromission ne puisse pas entraîner une compromission en cascade de vos autres comptes.

Points à retenir pour anticiper le risque interne

Cette condamnation envoie un signal clair : la trahison d’un initié lors d’une réponse à un ransomware entraîne de lourdes conséquences juridiques, mais la prévention est plus importante que la punition après coup. Si votre organisation travaille avec des sociétés de réponse aux incidents ou de négociation, exigez des contrôles d’accès documentés, une supervision indépendante des négociations et une responsabilité contractuelle claire. Si vous êtes un particulier touché par une violation au sein d’une entreprise de confiance, prenez les notifications au sérieux, modifiez les mots de passe réutilisés et surveillez les comptes liés à cette organisation.

L’affaire Martino sera probablement citée pendant des années comme un exemple dissuasif dans le domaine de la négociation de rançon. Pour tout le monde, elle rappelle utilement que la confiance en période de crise doit se mériter et se vérifier, et non être présumée.