Pouzdani pregovarač radio je za napadače

Kada tvrtku pogodi ransomware, jedan od prvih poziva često ide profesionalnom pregovaraču, nekome tko je angažiran da smanji zahtjev za otkupninom, kupi vrijeme i djeluje kao tampon između uspaničenih rukovoditelja i kriminalnih hakera. Taj sustav u potpunosti ovisi o povjerenju. Nedavna federalna presuda pokazuje što se događa kada se to povjerenje iznevjeri iznutra.

Pregovarač za ransomware osuđen je na 70 mjeseci saveznog zatvora nakon što su tužitelji otkrili da je potajno surađivao s ransomware grupom BlackCat (poznatom i kao ALPHV) dok je tvrdio da zastupa žrtve. Umjesto da štiti tvrtke koje su ga angažirale, navodno je napadačima dostavljao osjetljive detalje, uključujući informacije o osiguranju klijenata i limitima isplate, što je kriminalcima dalo prednost da traže više novca i učinkovitije pritišću. Kao dio kazne, također je oduzeta kriptovaluta povezana s ovim planom.

Slučaj je identificirao najmanje pet žrtava, uključujući tvrtku za medicinske uređaje na Floridi kojoj je prvotno zatraženo 10 milijuna dolara otkupnine prije nego što je na kraju platila oko 1,2 milijuna dolara, farmaceutsku tvrtku u Marylandu i liječničku ordinaciju. Cijeli opseg plana navodno se također isprepleo s sukobima unutar suparničkih ransomware bandi, pri čemu je jedna grupa prijetila razotkrivanjem operacija druge, što je podsjetnik da ni kriminalni ekosustavi nisu imuni na unutarnje sukobe i izdaju.

Kako je plan potkopao žrtve

Pregovarači za ransomware zauzimaju jedinstveno osjetljiv položaj. Da bi obavili svoj posao, obično trebaju pristup informacijama koje većina tvrtki nikada ne bi dala nekom izvana: koliko je gotovine dostupno, što polica kibernetičkog osiguranja zapravo pokriva, interni rokovi i koliko je uprava očajna da tiho riješi situaciju. Te informacije trebale bi ostati povjerljive i koristiti se samo za zaštitu interesa klijenta tijekom pregovora.

Kada pregovarač umjesto toga proslijedi te informacije napadačima, cijeli proces odgovora na incident biva kompromitiran prije nego što uopće započne. Žrtve vjeruju da pregovaraju s pozicije informirane strategije, dok u stvarnosti druga strana već zna njihov financijski limit. Ta neravnoteža vjerojatno objašnjava zašto su zahtjevi u ovim slučajevima tako agresivno eskalirali i zašto je početni zahtjev tvrtki za medicinske uređaje bio osam puta veći od onoga što je na kraju platila.

Ovo nije izolirani incident. Kako smo izvijestili u našem članku o floridskom pregovaraču za ransomware osuđenom u odvojenom američkom slučaju iznude, tijela za provedbu zakona sada su identificirala više pregovarača povezanih s istom iznuditeljskom mrežom vezanom uz BlackCat. Taj obrazac sugerira da ovo nije bila jednokratna izdaja, već namjeran, barem djelomično organiziran napor da se iskoristi industrija odgovora na incidente iznutra.

Implikacije za privatnost žrtava proboja podataka

Posljedice po privatnost ovdje sežu daleko izvan iznosa otkupnine. Tvrtke za medicinske uređaje, farmaceutske tvrtke i liječničke ordinacije rutinski posjeduju osjetljive podatke o pacijentima i zdravstvene podatke. Kada pregovarač potajno radi protiv interesa žrtve, to otvara stvarna pitanja o tome koje su druge osjetljive informacije možda bile izložene, zloupotrijebljene ili korištene kao dodatna poluga tijekom procesa iznude. Tvrtke koje posluju u zdravstvu i drugim reguliranim sektorima već su obvezne štititi podatke pacijenata prema strogim obvezama privatnosti, a unutarnja izdaja tijekom ransomware incidenta komplicira svaku daljnju odluku, uključujući treba li i kako obavijestiti pogođene pojedince.

To također ističe slijepu točku koju mnoge organizacije ne uzimaju u obzir dok ne bude prekasno: pružatelji usluga odgovora na incidente, uključujući pregovarače, forenzičke tvrtke, pa čak i pravne savjetnike angažirane tijekom proboja, rijetko se provjeravaju s jednakom pažnjom koja se primjenjuje na ostale rizike trećih strana. Tvrtka može provesti opsežnu dubinsku provjeru pružatelja usluga u oblaku ili dobavljača softvera, ali tijekom krize angažirati pregovarača uglavnom na temelju reputacije ili hitnosti.

Što ovo znači za vas

Ako vaša organizacija ikada bude trebala angažirati pregovarača za ransomware ili tvrtku za odgovor na incidente, ovaj je slučaj razlog da usporite, a ne paničarite. Neovisno provjerite vjerodajnice umjesto da se oslanjate isključivo na preporuke svog osiguravatelja ili jedne kontaktne osobe. Postavite izravna pitanja o tome kako se postupa s klijentovim informacijama, kako se pohranjuju i dijele te inzistirajte na dokumentiranim granicama o tome što pregovarač smije, a što ne smije otkriti. Ako vaša polica kibernetičkog osiguranja propisuje određeni popis pružatelja usluga, proaktivno pregledajte taj popis prije nego što se napad dogodi, a ne da tragate za rješenjem tijekom aktivnog incidenta kada su i pregovaračka pozicija i prosudba ugroženi.

Za pojedince je poruka jednostavnija, ali i dalje važna: ako dobijete obavijest da je pružatelj zdravstvenih usluga, ljekarna ili tvrtka za medicinske uređaje s kojom ste imali kontakt doživjela ransomware incident, ozbiljno shvatite obavijest čak i ako tvrtka kaže da je izloženost podataka bila ograničena. Ovakvi slučajevi pokazuju da unutarnje postupanje s probojem podataka može biti daleko neurednije nego što javne izjave sugeriraju.

Ključni zaključci

Ova presuda rijedak je, konkretan primjer kako se uloga pregovarača za ransomware, u potpunosti izgrađena na povjerljivosti i povjerenju, može iskoristiti kao oružje protiv samih organizacija koje bi trebala štititi. Provjerite svoje pružatelje usluga odgovora na incidente prije nego što kriza nastupi, ugradite jasne granice dijeljenja informacija u svaki ugovor i zapamtite da pregovaračka moć pregovarača za ransomware ovisi o tome da tajnost ostane tajna na vašoj strani, a ne na strani napadača.