Egy megbízható bennfentesből bűntárs

Amikor egy vállalat zsarolóvírus-támadás áldozatává válik, gyakran egy speciális tárgyalóhoz fordul, aki a kényes, nagy téttel bíró párbeszédet kezeli a támadókkal. Pontosan ezt a szerepet töltötte be Angelo Martino (41) a DigitalMintnél, egy olyan cégnél, amely segít a szervezeteknek eligazodni a zsarolóvírus-incidensek között, és a nevükben tárgyalni a váltságdíjakról. Martinót aktív incidensek során vonták be, az asztalnak azon az oldalán ülve, amely az áldozatok védelmét szolgálta.

Ehelyett a bírósági iratok szerint Martino titokban a BlackCat (más néven ALPHV) zsarolóvíruscsoport tagjaival dolgozott együtt, amely az utóbbi évek egyik leghírhedtebb zsarolóművelete volt. Ahelyett, hogy ügyfelei érdekeit védte volna, állítólag bizalmas információkat szivárogtatott ki a támadóknak azokból a tárgyalásokból, amelyeket elvileg az áldozatok nevében kellett volna folytatnia. Ez a belső tudás segítette a bandát abban, hogy nagyobb összegeket préseljenek ki – a jelentések szerint a csalás hozzávetőleg 75 millió dollárra rúgott, amit több ügyben húztak ki az áldozat szervezetekből. Martino bűnösnek vallotta magát, és 70 hónap szövetségi börtönbüntetésre ítélték.

Hogyan ásta alá a csalás a zsarolóvírus-tárgyalást

A zsarolóvírus-tárgyalás azért létezik, mert a támadással szembesülő vállalatok sokszor nem rendelkeznek azzal a speciális szakértelemmel, amely a bűnözői csoportokkal való kommunikációhoz, a fenyegetések hitelességének értékeléséhez, vagy annak eldöntéséhez szükséges, hogy egyáltalán érdemes-e váltságdíjat fizetni. Az olyan cégek, mint a DigitalMint, tűzfalként kellene, hogy működjenek, tapasztalatukat felhasználva csökkentik a követeléseket, igazolják az adat-helyreállítási lehetőségeket, és megakadályozzák, hogy az áldozatokat kétszeresen is kihasználják.

Martino esete a feje tetejére állítja ezt a modellt. Azzal, hogy kiszivárogtatta a folyamatban lévő tárgyalások bizalmas részleteit – többek között belső ügyfélinformációkat, pénzügyi küszöbértékeket és az áldozat alkupozíciójának állását –, gyakorlatilag a BlackCat tagjainak kezébe adta azt a forgatókönyvet, amire a maximális váltságdíj eléréséhez szükségük volt. Ez a bizalom súlyos megsértése, nemcsak Martino és munkáltatója, hanem a munkáltató és minden ügyfél között is, aki azt feltételezte, hogy a válságkezelő csoport kizárólag értük dolgozik.

Az ilyen belső összejátszás különösen káros, mivel a zsarolóvírus-áldozatok már eleve kiszolgáltatott helyzetben vannak. Gyakran azonnali döntéseket kell hozniuk érzékeny adatokról, üzemszünetről és szabályozási kitettségről. Az olyan esetek, mint amikor az Instructure váltságdíjat fizetett a Canvas szivárgás után, azt mutatják, hogy a szervezetek néha arra a következtetésre jutnak, hogy a fizetés a legkevésbé káros lehetőség. Ha a döntést kezelő tárgyalónak pénzügyi érdeke fűződik ahhoz, hogy az áldozat ellen dolgozzon, a fizetés indokolására szolgáló teljes számítás érvénytelenné válik.

Miért vet fel ez az ügy nagyobb adatvédelmi aggályokat a vállalkozások számára?

Az adatvédelmi következmények messze túlmutatnak a közvetlen pénzügyi veszteségeken. A zsarolóvírus-tárgyalások során jellemzően rendkívül érzékeny anyagokat osztanak meg: a lopott adatok körét, belső biztonsági értékeléseket, vezetői kommunikációt és azt, hogy a vállalat mennyit hajlandó fizetni. Az áldozatok azzal a feltételezéssel osztják meg ezeket az információkat, hogy azok egy szigorúan ellenőrzött, megbízható válaszadói körön belül maradnak.

Martino tettei rávilágítanak, hogy maga az incidenskezelési ökoszisztéma is hibaponttá válhat. Még azok a szervezetek is, amelyek egy szivárgás után mindent jól csinálnak – jó hírű cégeket bíznak meg, követik az ajánlott protokollokat, és együttműködnek a hatóságokkal –, szembesülhetnek azzal, hogy adataikat és tárgyalási pozíciójukat belülről ássák alá. Ez a nyomásgyakorlási taktika emlékeztet más nagy port kavart zsarolási kampányokra, például amikor a ShinyHunters iskolai portálokat gyalázott meg a Canvas zsarolóvírus-kampánya eszkalálásakor, ahol a támadók a nyilvános megszégyenítésre és az adatfölényre támaszkodva erőltették a megoldást.

Mit jelent ez Önnek?

Ha szervezete valaha is tárgyalásba kényszerül egy zsarolóvírus-csoporttal, ez az eset arra emlékeztet, hogy a szállító kiválasztásának folyamata ugyanolyan alapos vizsgálatot érdemel, mint a kiberbiztonsági eszközök. Kérdezze meg a lehetséges tárgyalócégeket a belső kontrollokról, a munkatársak átvilágításáról, valamint arról, hogy egy aktív ügy során hogyan szegmentálják és figyelik az ügyféladatokat. Kérjen egyértelműséget arról, hogy ki fér hozzá a tárgyalási részletekhez, és hogy bármelyik személy rendelkezik-e ellenőrizetlen jogosultsággal a támadókkal folytatott kommunikáció felett.

Azon magánszemélyek és kisebb vállalkozások számára, amelyeknek nincs erőforrásuk a szállítók alapos átvilágítására, a tanulság tágabb: már eleve minimalizálják a kockázatot az érzékeny adatok mennyiségének csökkentésével. Erős biztonsági mentési gyakorlat, hálózati szegmentáció és a könnyen hozzáférhető rendszerekben tárolt személyes vagy pénzügyi adatok korlátozása mind csökkenti azt a nyomást, amit egy zsarolóvírus-csoport vagy egy megbízhatatlan belsős személy gyakorolhat Önre.

Főbb tanulságok

  • Ugyanolyan szigorúan ellenőrizze az incidenskezelő és tárgyalócégeket, mint bármely érzékeny adatot kezelő szállítót.
  • Kérdezzen rá, hogyan ellenőrzik és auditálják a tárgyalócégek belsőleg a munkatársak hozzáférését az aktív zsarolóvírus-esetek során.
  • Csökkentse a kompromittálódásnak kitett rendszerekben tárolt érzékeny adatok mennyiségét, mert a kisebb kitettség kisebb nyomást jelent a támadók vagy belsős csalók számára.
  • Kezelje a zsarolóvírus-tárgyalást olyan döntésként, amely saját felügyeletet igényel, nem pedig fekete dobozként, amelyet teljesen egy harmadik fél kezel.

A Martino-ügy ritka, de súlyos példa a bennfentes árulásra a zsarolóvírus-kezelési iparágon belül. Ez nem jelenti azt, hogy a tárgyalócégekben általánosságban ne lehetne megbízni, de hangsúlyozza, hogy a bizalmat ellenőrizni kell, nem feltételezni, különösen akkor, amikor egy vállalat legszenzitívebb szivárgási adatai forognak kockán.