Pregovarač za ransomware trebao bi biti osoba u prostoriji koja se bori za žrtvu. To povjerenje je narušeno u slučaju Angelo Martina, bivšeg pregovarača u tvrtki za odgovor na incidente DigitalMint, koji je osuđen na 70 mjeseci saveznog zatvora jer je tajno prosljeđivao povjerljive podatke klijenata bandi BlackCat, upravo onim napadačima protiv kojih je bio angažiran pregovarati.

Presuda zatvara jedno od uznemirujućih poglavlja u nedavnoj povijesti ransomwarea: slučaj u kojem je navodni branitelj radio za obje strane pregovaračkog stola.

Povjerljivi insajder postao izdajica

Kad tvrtku pogodi ransomware, angažiranje profesionalnog pregovarača često je jedan od prvih poziva nakon što se obavijesti policija i pravni savjetnici. Ti stručnjaci dovode se upravo zato što su žrtve u panici, tehnički preopterećene i očajne da izbjegnu dodatnu štetu. Dobar pregovarač trebao bi kupiti vrijeme, suprotstaviti se prenapuhanim zahtjevima i na kraju svesti otkupninu na iznos koji žrtva može preživjeti platiti, ako do plaćanja uopće dođe.

Martinova uloga u DigitalMintu stavila ga je upravo u taj odnos. Prema izvornim izvještajima, koristio je svoj pristup detaljima o klijentima, uključujući informacije o pritisku pod kojim su žrtve bile i što bi mogle biti spremne platiti, kako bi pomogao operaterima BlackCata da izvuku veće isplate, a ne manje. Na taj je način okrenuo posao pregovarača naglavačke, radeći na maksimiziranju štete upravo za one klijente koji su ga angažirali radi zaštite.

Kao što je vpn.social prethodno izvijestio, ovaj je aranžman u potpunosti ovisio o pretpostavci da lojalnost pregovarača ide samo u jednom smjeru. Martinovo postupanje razbilo je tu pretpostavku na način koji je uzdrmalo industriju odgovora na incidente.

Kako je shema dvostrukog agenta funkcionirala

Mehanika sheme bila je jednostavna, ali štetna. Prosljeđujući povjerljive detalje, informacije o osiguranju, strategiju pregovaranja ili koliko je žrtva realno mogla priuštiti, Martino je BlackCatovim napadačima davao nepravednu prednost u svakom pregovoru kojeg je dotaknuo. Umjesto da se zahtjevi za otkupninom smanjuju pod njegovim navodnim zagovaranjem, oni su tiho bili konstruirani da rastu.

Ovo nije bio izolirani incident. Povezano izvještavanje o slučaju, uključujući izvješće o široj shemi pregovarača BlackCata, navodi da Martino nije bio jedini pregovarač upleten u ovakvo postupanje povezano s istom ransomware operacijom. Odvojeni slučaj koji uključuje pregovarača sa sjedištem na Floridi osuđenog u povezanoj shemi iznude naglašava da ovo nije bio jednokratni propust u prosuđivanju jednog lošeg aktera, već obrazac koji je iskorištavao strukturno povjerenje ugrađeno u industriju odgovora na incidente.

Kazna od 70 mjeseci odražava ozbiljnost s kojom su federalni tužitelji tretirali ovu izdaju: ovo nije bila jednostavna nepažnja ili sigurnosni propust, već je insajder namjerno radio protiv ljudi koji su svoju vjeru i svoje osjetljive podatke stavili u njegove ruke.

Što ovo znači za vas

Za većinu ljudi ovaj slučaj može djelovati daleko od svakodnevnog života, ali dotiče se nečega do čega bi svima trebalo biti stalo: koliko povjerenja polažemo u posrednike koji rukuju našim najosjetljivijim informacijama tijekom krize. Pregovarači za ransomware sjede u jedinstveno privilegiranom položaju. Oni vide interne financijske detalje, sigurnosne propuste i komunikacije koje žrtva organizacija nikada ne bi željela učiniti javnima.

Kad se to povjerenje zloupotrijebi, posljedice se šire i izvan neposrednih tvrtki žrtava. Zaposlenici, kupci i svi čiji su osobni podaci bili u tim probijenim sustavima mogu platiti cijenu dvaput: jednom kroz izvorni napad ransomwareom i ponovno kroz pregovarački proces koji je potajno radio protiv njih.

Ovaj slučaj podsjetnik je da privatnost i sigurnost u incidentu s ransomwareom ne završavaju kad se angažira stručnjak. Nadzor, provjera i neovisna revizija ponašanja pregovarača važni su jednako kao i početni odgovor na sam napad.

Provedivi zaključci

Ako se vaša organizacija ikada nađe u pregovorima s operaterima ransomwarea ili jednostavno želite razumjeti kako se ovi incidenti odvijaju, nekoliko lekcija ističe se iz Martinovog slučaja:

  • Temeljito provjerite dobavljače usluga odgovora na incidente i pitajte kako prate vlastito osoblje na sukob interesa tijekom aktivnih pregovora.
  • Zahtijevajte transparentnost o tome tko ima pristup osjetljivim pregovaračkim detaljima, uključujući financijska ograničenja i informacije o osiguranju.
  • Razmotrite neovisni nadzor ili drugu kontaktnu točku kada su uključeni veliki zahtjevi za otkupninu, umjesto da se oslanjate isključivo na izvještaj jednog pregovarača o procesu.
  • Budite informirani o tome kako pregovori za ransomware zapravo funkcioniraju, jer razumijevanje poticaja koji su u igri pomaže organizacijama postaviti bolja pitanja prije, a ne nakon što se napad dogodi.

Presuda pregovaraču za ransomware zbog izdaje vlastitih klijenata ekstreman je slučaj, ali naglašava jednostavnu istinu: povjerenje u krizi mora se zaslužiti i provjeriti, a ne pretpostaviti.