Pouzdani insajder okrenuo se protiv vlastitih klijenata
Kada tvrtka postane žrtva ransomware napada, obično angažira pregovarača, osobu čiji je posao komunicirati s napadačima, procijeniti situaciju i pokušati smanjiti štetu. Taj odnos u potpunosti ovisi o povjerenju. Bivši pregovarač tvrtke za odgovor na incidente DigitalMint upravo je pokazao što se događa kada se to povjerenje iznevjeri.
Angelo Martino, 41, osuđen je na 70 mjeseci saveznog zatvora zbog urote s ransomware grupom BlackCat (poznatom i kao ALPHV) dok je radio kao pregovarač koji je navodno zastupao interese žrtava. Umjesto da isključivo brani svoje klijente, Martino je koristio svoj položaj kako bi informacije prosljeđivao upravo onim kriminalcima od kojih su se njegovi klijenti pokušavali obraniti, prema izvještaju Help Net Security. Slučaj, detaljnije opisan u našem ranijem članku o 70-mjesečnoj zatvorskoj kazni za pregovarača DigitalMint-a, ističe prijetnju na koju većina žrtava ransomwarea nikada ne pomišlja: osobu angažiranu da ih zaštiti.
Zašto pregovarači za ransomware imaju pristup toliko osjetljivih podataka
Pregovarači za ransomware nalaze se u jedinstveno povlaštenom položaju. Kako bi učinkovito obavljali svoj posao, obično trebaju pristup detaljima koje većina zaposlenika unutar žrtvine organizacije nikada ne vidi: opseg proboja, koji su podaci ukradeni, koliko cyber osiguranje pokriva tvrtku i koliko je tvrtka realno spremna ili u mogućnosti platiti. Te su informacije za napadača zlata vrijedne. Na primjer, znajući limite osiguranja žrtve, ransomware grupa može prilagoditi svoj zahtjev za otkupninom kako bi izvukla maksimalnu moguću isplatu.
Upravo to čini slučaj Martino značajnim iz perspektive privatnosti. Nije se radilo o vanjskom hakeru koji provaljuje u sustave tvrtke. Radilo se o insajderu, osobi koja je angažirana upravo zbog osjetljivog pristupa koji njezina uloga zahtijeva, a koji je navodno koristio taj pristup protiv ljudi koji su ga angažirali. Tvrtke za odgovor na incidente i pregovore postoje jer većina organizacija nema specijalizirane vještine za interno rješavanje ransomware krize. To oslanjanje na vanjske stručnjake je razumno i često nužno, ali također znači da žrtve poklanjaju povjerenje trećoj strani s minimalnom mogućnošću da neovisno provjere je li to povjerenje opravdano.
Širi ekosustav ransomwarea već prisiljava žrtve na teške kompromise u pogledu privatnosti. Plaćanje otkupnine ne jamči da će ukradeni podaci biti izbrisani, a pregovaranje u dobroj vjeri pretpostavlja da i druga strana, i svi koji vas savjetuju, također djeluju u dobroj vjeri. Ovakav slučaj potkopava tu pretpostavku na način koji bi žrtve mogao učiniti okljevnijima da u potpunosti otkriju informacije upravo onim profesionalcima koji bi im trebali pomoći, potencijalno usporavajući odgovor na incident u trenutku kada je to najvažnije.
Što to znači za vas
Većina čitatelja nikada neće osobno angažirati pregovarača za ransomware, ali temeljna lekcija vrijedi općenito: dobavljači trećih strana koji imaju pristup vašim osjetljivim podacima pouzdani su onoliko koliko je pouzdana najslabija karika unutar organizacije tog dobavljača. Bilo da se radi o odvjetničkom uredu, izvođaču za odgovor na incidente, pružatelju usluga u oblaku ili bilo kojoj tvrtki koja obrađuje vaše osobne ili financijske podatke, sigurnost tog odnosa ovisi o unutarnjim kontrolama koje vi izvana ne možete vidjeti.
Za tvrtke, ovaj slučaj je podsjetnik da postavljaju teška pitanja prije i tijekom ransomware incidenta. Tko u pregovaračkoj tvrtki ima pristup podacima o osiguranju i ovlaštenju za plaćanje? Postoje li interne kontrole koje sprječavaju da jedan zaposlenik komunicira izravno s akterima prijetnje bez nadzora? Bilježe li se i pregledavaju razgovori? To nisu pitanja o kojima većina tvrtki razmišlja usred krize, ali bi trebala biti dio dubinske analize prije nego što do proboja uopće dođe, a ne nakon.
Za pojedince, zaključak je neizravniji, ali i dalje relevantan. Kada tvrtka s kojom poslujete pretrpi ransomware napad, rješavanje tog incidenta, uključujući tko ima pristup vašim ugroženim podacima tijekom pregovora, uglavnom je izvan vaše kontrole. To je još jedan razlog da od samog početka svedete na najmanju moguću mjeru koliko osjetljivih osobnih podataka dijelite s bilo kojom pojedinačnom organizacijom te da koristite alate poput upravitelja lozinki i višefaktorske autentikacije kako jedan proboj ne bi prerastao u širu kompromitaciju računa.
Ključne poruke za upravljanje rizikom od insajdera
Ova presuda šalje jasan signal da izdaja insajdera tijekom odgovora na ransomware nosi ozbiljne pravne posljedice, ali prevencija je važnija od kažnjavanja nakon činjenice. Ako vaša organizacija surađuje s tvrtkama za odgovor na incidente ili pregovore, inzistirajte na dokumentiranim kontrolama pristupa, neovisnom nadzoru pregovora i jasnoj ugovornoj odgovornosti. Ako ste pojedinac pogođen probojem u tvrtku kojoj vjerujete, ozbiljno shvatite obavijesti, promijenite ponovno korištene lozinke i nadzirite račune povezane s tom organizacijom.
Slučaj Martino vjerojatno će se godinama navoditi kao primjer upozorenja u području pregovaranja za ransomware. Za sve ostale, to je koristan podsjetnik da se povjerenje u krizi mora zaslužiti i provjeriti, a ne pretpostaviti.
