Egy megbízható bennfentes a saját ügyfelei ellen fordult

Amikor egy céget zsarolóvírus-támadás ér, általában tárgyalót hív, olyan személyt, akinek az a dolga, hogy kommunikáljon a támadókkal, felmérje a helyzetet, és próbálja csökkenteni a kárt. Ez a kapcsolat teljes mértékben a bizalmon alapul. A DigitalMint incidenskezelő cég egyik volt tárgyalója most megmutatta, mi történik, ha ez a bizalom megtörik.

A 41 éves Angelo Martinót 70 hónap szövetségi börtönbüntetésre ítélték, mert összeesküdött a BlackCat zsarolóvírus-csoporttal (más néven ALPHV), miközben tárgyalóként állítólag az áldozatok érdekeit képviselte. Ahelyett, hogy kizárólag ügyfeleit védte volna, Martino a pozícióját arra használta, hogy információkat szivárogtasson vissza azoknak a bűnözőknek, akik ellen ügyfelei védekezni próbáltak – számolt be a Help Net Security. Az eset, amelyet korábbi tudósításunkban a DigitalMint-tárgyaló 70 hónapos büntetéséről részletesebben is bemutattunk, rávilágít egy olyan fenyegetésre, amelyre a legtöbb zsarolóvírus-áldozat sosem gondol: arra, akit a védelmükre béreltek fel.

Miért férnek hozzá a zsarolóvírus-tárgyalók ennyi érzékeny adathoz

A zsarolóvírus-tárgyalók egyedülállóan kivételezett helyzetben vannak. Ahhoz, hogy hatékonyan végezhessék munkájukat, általában olyan részletekhez kell hozzáférniük, amelyeket az áldozat szervezetén belül a legtöbb alkalmazott sosem lát: az adatszivárgás mértéke, milyen adatokat loptak el, mekkora kiberbiztosítási fedezettel rendelkezik a cég, és reálisan mennyit hajlandó vagy képes fizetni. Ez az információ aranyat ér egy támadó számára. Ha például ismeri az áldozat biztosítási limitjeit, a zsarolóvírus-csoport úgy tudja beállítani a váltságdíjkövetelést, hogy a lehető legnagyobb összeget préselje ki.

Pontosan ez teszi a Martino-ügyet adatvédelmi szempontból figyelemre méltóvá. Nem egy külső hacker tört be a vállalat rendszereibe. Hanem egy bennfentes, akit épp azért hívtak be, mert a szerepköre érzékeny hozzáférést igényelt, és aki állítólag ezt a hozzáférést használta fel az őt alkalmazók ellen. Az incidenskezelő és tárgyaló cégek azért léteznek, mert a legtöbb szervezetnek nincsenek meg a speciális készségei ahhoz, hogy saját maga kezeljen egy zsarolóvírus-válságot. Ez a külső szakértőkre való támaszkodás észszerű és gyakran szükséges is, de egyben azt is jelenti, hogy az áldozatok egy harmadik félnek szavaznak bizalmat, miközben alig van lehetőségük függetlenül ellenőrizni, hogy ez a bizalom indokolt-e.

A szélesebb zsarolóvírus-ökoszisztéma már most is nehéz adatvédelmi kompromisszumok elé állítja az áldozatokat. A váltságdíj kifizetése nem garantálja, hogy az ellopott adatokat törlik, a jóhiszemű tárgyalás pedig feltételezi, hogy a másik fél – és mindenki, aki tanácsot ad – szintén jóhiszeműen jár el. Egy ilyen eset aláássa ezt a feltételezést, és emiatt az áldozatok vonakodhatnak teljes körűen tájékoztatni azokat a szakembereket, akiknek épp az lenne a feladatuk, hogy segítsenek, ami potenciálisan lelassíthatja az incidenskezelést abban a pillanatban, amikor a leggyorsabb reagálásra lenne szükség.

Mit jelent ez Önnek

A legtöbb olvasó valószínűleg soha nem fog személyesen zsarolóvírus-tárgyalót felbérelni, de a mögöttes tanulság széles körben érvényes: az érzékeny adataihoz hozzáférő külső beszállítók csak annyira megbízhatók, amennyire a beszállító szervezetének leggyengébb láncszeme. Legyen szó ügyvédi irodáról, incidenskezelési alvállalkozóról, felhőszolgáltatóról vagy bármely cégről, amely az Ön személyes vagy pénzügyi adatait kezeli, a kapcsolat biztonsága olyan belső kontrollokon múlik, amelyeket kívülről nem láthat.

Vállalkozások számára ez az eset arra emlékeztet, hogy már a zsarolóvírus-incidens előtt és közben is kemény kérdéseket kell feltenni. Kinél a tárgyaló cégnél férhetnek hozzá a biztosítási részletekhez és a fizetési jogosultságokhoz? Vannak-e belső ellenőrzések, amelyek megakadályozzák, hogy egyetlen alkalmazott közvetlenül kommunikáljon a fenyegető szereplőkkel felügyelet nélkül? Naplózzák és felülvizsgálják-e a beszélgetéseket? Ezek nem olyan kérdések, amelyekre a legtöbb cég egy válság közepén gondol, de a kellő körültekintés részét kell képezniük, még mielőtt egy adatszivárgás bekövetkezne, nem pedig utána.

Az egyének számára a tanulság közvetettebb, de ugyanolyan releváns. Amikor egy olyan céget, amellyel Ön üzleti kapcsolatban áll, zsarolóvírus-támadás ér, az incidens kezelése – beleértve azt, hogy kik férnek hozzá az Ön veszélyeztetett adataihoz a tárgyalások során – nagyrészt kívül esik az Ön ellenőrzésén. Ez egy újabb ok arra, hogy eleve minél kevesebb érzékeny személyes adatot osszon meg egyetlen szervezettel, és használjon olyan eszközöket, mint a jelszókezelők és a többfaktoros hitelesítés, hogy egyetlen adatszivárgás ne vezethessen szélesebb körű fiókkompromittálódáshoz.

Teendők a bennfentes kockázatok megelőzése érdekében

Ez az ítélet egyértelmű jelzés, hogy a zsarolóvírus-válasz során elkövetett bennfentes árulás súlyos jogi következményekkel jár, de a megelőzés fontosabb, mint az utólagos büntetés. Ha az Ön szervezete incidenskezelő vagy tárgyaló cégekkel dolgozik együtt, ragaszkodjon dokumentált hozzáférés-szabályozáshoz, a tárgyalások független felügyeletéhez és egyértelmű szerződéses elszámoltathatósághoz. Ha Ön egyént érint egy olyan cégnél bekövetkezett adatszivárgás, amelyben megbízik, vegye komolyan az értesítéseket, cserélje le az újrahasznált jelszavakat, és kövesse nyomon az adott szervezethez kapcsolódó fiókokat.

A Martino-ügyet valószínűleg évekig fogják intő példaként emlegetni a zsarolóvírus-tárgyalók területén. Mindenki más számára ez hasznos emlékeztető arra, hogy a válsághelyzetben adott bizalmat ki kell érdemelni és ellenőrizni kell, nem pedig feltételezni.