Mi történt: A tárgyaló, aki mindkét oldalnak dolgozott

Amikor egy vállalatot zsarolóvírus-támadás ér, az egyik első hívása egy tárgyalóhoz szól: egy szakértőhöz, akiben megbíznak, hogy a pánikba esett áldozat és a bűnözői banda közé álljon, és azon dolgozzon, hogy csökkentse a váltságdíj-követelést, vagy időt nyerjen a helyreállításhoz. Ez a kapcsolat teljes mértékben a bizalmon alapul. A Malwarebytes beszámolója szerint az egyik ilyen tárgyaló a lehető legkárosabb módon törte meg ezt a bizalmat. Ahelyett, hogy segített volna az áldozatoknak visszaszorítani a BlackCat zsarolóprogram-banda követeléseit, titokban információkat szivárogtatott ki a bűnözőknek azokból a tárgyalásokból, amelyeket elvileg az áldozatok nevében folytatott.

Az eredmény egy olyan belső fenyegetési forgatókönyv lett, amely milliókba került az áldozatoknak. A tárgyaló nem tűzfalként működött a vállalat és a támadó között, hanem gyakorlatilag második támadóvá vált, aki kiváltságos hozzáféréssel rendelkezett az áldozat pénzügyi korlátaihoz, jogi stratégiájához és fizetési hajlandóságához. Ez körülbelül a lehető legsúlyosabb incidenskezelési kudarc, mert azt a védelmi vonalat változtatja teherré, amiért a szervezetek fizetnek.

Hogyan toboroznak a Ransomware-as-a-Service bandák megbízható közvetítőket

A BlackCat, más néven ALPHV, ransomware-as-a-service (RaaS) csoportként működik, ami azt jelenti, hogy licenceli a kártevőjét és infrastruktúráját olyan leányvállalatoknak, amelyek végrehajtják a támadásokat és osztoznak a nyereségen. Ez az üzleti modell mindig is arra épült, hogy olyan emberek hálózatát építse ki, akik hajlandók együttműködni a bevétel egy részéért cserébe – a kezdeti hozzáférést biztosító brókerektől kezdve, akik ellopott hitelesítő adatokat adnak el, egészen a leányvállalatokig, akik a tényleges titkosító csomagot telepítik. A kompromittált vagy bűnrészes tárgyaló egyszerűen ennek a hálózatnak a következő logikus kiterjesztése: valaki, aki beágyazódott a legális incidenskezelési ökoszisztémába, és olyan hírszerzési információkat oszthat meg, amelyeket a banda önmagától soha nem szerezhetne meg.

Pontosan ezért van jelentősége az ügynek a BlackCat-en túl is. A zsarolóprogram-bandák egyre inkább megértik, hogy a behatolás utáni elhárítás leggyengébb láncszeme nem mindig egy tűzfal vagy egy javítatlan szerver. Lehet egy személy is, méghozzá olyan személy, akit az áldozat a legnagyobb stresszel járó biztonsági incidens során választott bizalmába. A bizalom és a hozzáférés kihasználásának ugyanez az elve jelenik meg a zsarolóprogramos és adatkizsarolási helyzetek széles körében, beleértve az olyan eseteket is, mint a ShinyHunters támadása az Európa Tanács HR-rendszerei ellen, ahol a támadók ismét megmutatták, milyen hatékonyan képesek a bűnözői csoportok kihasználni a belső hozzáférést, ha egyszer megtalálták a bejutás módját.

Miért növeli ez a támadási felületet a behatolás áldozatainak

A legtöbb szervezet a zsarolóprogram-kockázatot a saját hálózata szempontjából gondolja át: végpontok, szerverek, biztonsági mentések, alkalmazottak képzése. Sokkal kevesebben gondolnak arra a kockázatra, amelyet a támadás megindulása után bevont szállítók és tanácsadók jelentenek. De egy tárgyaló, akárcsak egy igazságügyi nyomozó vagy egy adatvédelmi incidenskezelési tanácsadó, gyakran hozzáfér a vállalat legszenzitívebb információihoz válság idején: az áldozat által fizetni kívánt váltságdíj összege, hogy milyen adatokat loptak el valójában, és mennyire elkeseredett a szervezet a nyilvános nyilvánosságra kerülés elkerülésében.

Ha ezt a hozzáférést visszaélésre használják, a kár megsokszorozódik. Az áldozatok nemcsak magával a váltságdíjjal veszítenek pénzt, hanem elvesztik mindazt az alkuerejüket, amijük a tárgyalások során volt, hiszen a banda már a tárgyalások megkezdése előtt ismeri a végső határaikat. Ez az eset emlékeztet arra, hogy az incidenskezelési ellátási lánc ugyanolyan alapos vizsgálatot érdemel, mint bármely más szállítói kapcsolat, és hogy válság idején a bizalmat soha nem szabad automatikusan megadni csak azért, mert valaki a megfelelő munkaköri címet viseli.

Hogyan ellenőrizze az incidenskezelőket és tárgyalókat még a válság bekövetkezte előtt

A legjobb időpont egy zsarolóvírus-tárgyaló vagy incidenskezelési cég átvilágítására a támadás előtt van, nem pedig alatta, amikor az időnyomás szinte lehetetlenné teszi a gondos átvilágítást. A szervezetek több konkrét lépést is tehetnek:

  • Ellenőrizze a cég múltját, és kérjen referenciákat korábbi ügyfelektől, akik hasonló incidenseket éltek át.
  • Kérdezze meg, hogyan ellenőrzi a cég saját munkatársait, beleértve a háttérellenőrzéseket és a belső kontrollokat arra vonatkozóan, hogy ki férhet hozzá a tárgyalások részleteihez.
  • Ragaszkodjon dokumentált, auditálható kommunikációs naplókhoz bármilyen tárgyalás során, ahelyett, hogy kizárólag egyetlen kapcsolattartóra hagyatkozna.
  • Vonjon be külső jogi tanácsadót vagy egy második biztonsági tanácsadót a főbb döntések – mint a váltságdíj összege vagy a fizetés időzítése – független ellenőrzésére.
  • Építse ki ezeket a szállítói kapcsolatokat és szerződéseket előre, egy incidenskezelési szerződés részeként, ahelyett, hogy a behatolás kellős közepén kapkodva keresne segítséget.

Mit jelent ez Önnek

Ha az Ön szervezetének van zsarolóvírus-kezelési terve, ez az eset jó alkalom arra, hogy átgondolja, kik szerepelnek valójában ebben a tervben, és mennyire ismeri őket. A zsarolóvírus-tárgyaló által elkövetett belső fenyegetés ritka, de a következményei annyira súlyosak, hogy egy szerény mértékű előzetes átvilágítás megéri a fáradságot. Ugyanez a logika érvényes minden harmadik félre, amely kiváltságos hozzáféréssel rendelkezik egy adatvédelmi incidens során: az igazságügyi nyomozók, a jogi tanácsadók és a PR-cégek mind ugyanazt a vizsgálatot érdemlik, mint amit egy új szoftverszállító esetében alkalmaznának.

Kulcsfontosságú tanulságok

  • Még a válság előtt ellenőrizze az incidenskezelési és tárgyalási cégeket, beleértve a munkatársak háttérellenőrzését és a referenciákat.
  • Követeljen dokumentált, auditálható naplókat minden váltságdíj-tárgyalásról, ahelyett, hogy egyetlen megbízható személyre hagyatkozna.
  • Kezelje a harmadik fél válaszadókat a támadási felülete részeként, ne csupán a védekezés részeként.
  • Tájékozódjon folyamatosan arról, hogyan használják ki a zsaroló- és kizsarolási csoportok a bizalmat a behatolás minden szakaszában, a kezdeti hozzáféréstől a végső tárgyalásig.