Povjerljivi insajder postao suučesnik

Kada tvrtka postane žrtva ransomwarea, često se obraća specijaliziranom pregovaraču koji vodi delikatan, visokorizičan razgovor s napadačima. Upravo je to bila uloga Angela Martina, 41-godišnjaka, u tvrtki DigitalMint, koja pomaže organizacijama u upravljanju incidentima s ransomwareom i pregovaranju o isplatama u njihovo ime. Martino je bio uključen u slučajeve aktivnih povreda, sjedeći na strani stola koja je trebala štititi žrtve.

Međutim, prema sudskim spisima, Martino je potajno surađivao s pripadnicima ransomware skupine BlackCat (poznate i kao ALPHV), jedne od zloglasnijih iznuđivačkih operacija posljednjih godina. Umjesto da brani interese svojih klijenata, navodno je napadačima dostavljao povjerljive informacije iz pregovora koje je trebao voditi u ime žrtava. To unutarnje znanje navodno je pomoglo bandi da izvuče veće isplate, a izvješća ukazuju da je ta shema pridonijela izvlačenju otprilike 75 milijuna dolara od žrtava u više slučajeva. Martino je priznao krivnju i osuđen je na 70 mjeseci saveznog zatvora.

Kako je shema potkopala pregovore o ransomwareu

Pregovori o ransomwareu postoje jer tvrtke suočene s napadom često nemaju specijaliziranu stručnost za komunikaciju s kriminalnim skupinama, procjenu vjerodostojnosti prijetnji ili utvrđivanje je li uopće preporučljivo platiti otkupninu. Tvrtke poput DigitalMinta trebale bi djelovati kao vatrozid, koristeći svoje iskustvo za smanjenje zahtjeva, provjeru mogućnosti oporavka podataka i sprječavanje dvostrukog iskorištavanja žrtava.

Martinov slučaj taj model okreće naglavačke. Odašiljanjem osjetljivih detalja iz aktivnih pregovora, uključujući interne podatke o klijentima, financijske pragove i stanje pregovaračke pozicije žrtve, on je pripadnicima BlackCata praktički predao upute potrebne za postizanje maksimalnih isplata. To je duboko narušavanje povjerenja, ne samo između Martina i njegovog poslodavca, već i između njegovog poslodavca i svakog klijenta koji je pretpostavljao da njihov tim za odgovor na krizu radi isključivo za njih.

Ovakav oblik suučesništva unutar tvrtke posebno je štetan jer se žrtve ransomwarea već nalaze u ranjivom položaju. Često su pod pritiskom da brzo donesu odluke o osjetljivim podacima, prekidu rada i regulatornoj izloženosti. Slučajevi poput plaćene otkupnine Instructurea nakon povrede u Canvasu pokazuju kako organizacije ponekad zaključe da je plaćanje najmanje štetan izbor. Kada pregovarač koji upravlja tom odlukom ima financijski poticaj da radi protiv žrtve, cijeli izračun kojim se opravdava plaćanje postaje kompromitiran.

Zašto ovaj slučaj otvara veće brige o privatnosti za tvrtke

Implikacije na privatnost ovdje sežu daleko izvan neposrednih financijskih gubitaka. Pregovori o ransomwareu obično uključuju razmjenu vrlo osjetljivog materijala: opsega ukradenih podataka, internih sigurnosnih procjena, komunikacije rukovoditelja i detalja o tome koliko je tvrtka spremna platiti. Žrtve dijele te informacije pod pretpostavkom da one ostaju unutar strogo kontroliranog kruga pouzdanih osoba za odgovor.

Martinovi postupci pokazuju da sam ekosustav odgovora na incident može postati točka sloma. Čak i organizacije koje nakon povrede učine sve ispravno – angažiraju renomirane tvrtke, slijede preporučene protokole i surađuju s organima za provedbu zakona – mogu imati svoje podatke i pregovaračku poziciju potkopanu iznutra. Ovo odražava taktike pritiska viđene u drugim istaknutim iznuđivačkim kampanjama, poput eskalirajućih metoda kada su ShinyHuntersi unakazili portale škola tijekom svoje kampanje s otkupninom u Canvasi, gdje su se napadači oslonili na javno sramoćenje i pritisak putem podataka kako bi iznudili rješenje.

Što ovo znači za vas

Ako se vaša organizacija ikada nađe u pregovorima s ransomware skupinom, ovaj je slučaj podsjetnik da proces odabira dobavljača zaslužuje jednaku pažnju kao i vaši alati za kibernetičku sigurnost. Pitajte potencijalne pregovaračke tvrtke o internim kontrolama, provjerama zaposlenika i načinu na koji se podaci klijenata segmentiraju i nadziru tijekom aktivnog slučaja. Tražite jasnoću o tome tko ima pristup detaljima pregovora i ima li neka osoba nekontroliranu ovlast nad komunikacijom s napadačima.

Za pojedince i manje tvrtke bez resursa za detaljnu dubinsku provjeru dobavljača, poruka je šira: minimizirajte osjetljive podatke koji bi uopće mogli biti izloženi. Snažne backup prakse, mrežna segmentacija i ograničavanje količine osobnih ili financijskih podataka pohranjenih u lako dostupnim sustavima smanjuju pritisak koji ransomware skupina – ili kompromitirani insajder – može imati nad vama.

Ključni zaključci

  • Provjeravajte tvrtke za odgovor na incidente i pregovore s istom strogošću koju biste primijenili na svakog dobavljača koji rukuje osjetljivim podacima.
  • Pitajte kako pregovaračke tvrtke interno nadziru i revidiraju pristup zaposlenika tijekom aktivnih slučajeva ransomwarea.
  • Smanjite količinu osjetljivih podataka pohranjenih u sustavima podložnim kompromitaciji, jer manja izloženost znači manji pritisak za napadače ili insajdere.
  • Tretirajte pregovore o ransomwareu kao odluku koja zahtijeva vlastiti nadzor, a ne kao crnu kutiju kojom u potpunosti upravlja treća strana.

Slučaj Martino rijedak je, ali ozbiljan primjer unutarnje izdaje u industriji odgovora na ransomware. To ne znači da se pregovaračkim tvrtkama općenito ne može vjerovati, ali naglašava da povjerenje treba provjeravati, a ne pretpostavljati, posebno kada su u pitanju najosjetljiviji detalji o povredi tvrtke.