Egy jól ismert zsarolóvírus-tárgyaló letartóztatása, amelyről a Dark Reading számolt be, kényelmetlen kérdést vetett fel minden olyan szervezet számára, amelynek valaha terveznie kellett egy incidensre: mi történik, ha az a személy, akit a támadókkal való tárgyalásra fogad fel, a másik oldalnak dolgozik? Az eset éles emlékeztető arra, hogy a zsarolóvírus-tárgyalók belső fenyegetésként való átvilágítása minden incidenskezelési terv része kell legyen, nem csupán a technikai kontrolloké.

A forráscikk úgy keretezi a tanulságot, hogy szükség van a beszállítói programok szigorúbb felügyeletére. Ez a bejegyzés azt vizsgálja, hogyan működik a tárgyalás, mit tár fel a letartóztatás, és mit tehetnek a kisvállalkozások és a adatvédelemre tudatos felhasználók.

Hogyan működik valójában a zsarolóvírusos zsarolás és tárgyalás

Amikor egy vállalatot zsarolóvírusos támadás ér, az első hívások egyike gyakran egy professzionális tárgyalóhoz irányul. Feladatuk, hogy kommunikáljanak a támadókkal, felmérjék a helyzetet, és megpróbálják csökkenteni a kárt. Puffer szerepét töltik be a pánikba esett áldozatok és a bűnözők között, akik váltságdíjat követelhetnek a rendszerek helyreállításáért vagy az ellopott adatok titokban tartásáért.

Ez a felállás csak akkor működik, ha az áldozat teljesen megbízik a közvetítőben. A tárgyaló látja a váltságdíjkövetelést, megtudja, milyen adatokat vittek el, és gyakran tisztában van azzal, mennyit engedhet meg magának az áldozat, és mennyire sürgősen kell visszakapnia a rendszereket. Az áldozatoknak általában kevés lehetőségük van bármit is önállóan ellenőrizni. Válságban vannak, kevés idejük van, és a tárgyaló szakértelmére támaszkodnak.

A zsarolás kezelése is egyre nehezebb. A The Register által jelentett globális felmérés szerint a zsarolóvírusos támadások 37%-a már személyes fenyegetéseket is tartalmaz, legyen az pszichológiai vagy fizikai. Ahogy nő a nyomás az áldozatokon, úgy nő azokra való támaszkodásuk is, akik irányítják őket.

Mit tár fel a tárgyaló letartóztatása a belső kockázatról

A legtöbb biztonsági tervezés a külső támadókra összpontosít, és kisebb mértékben az alkalmazottakra. A harmadik felek beszállítóit gyakran alapértelmezés szerint megbízhatónak tekintik, különösen a vészhelyzetben bevont szakembereket. A letartóztatás rávilágít ennek a feltételezésnek a gyengeségére. Egy közvetítő, aki hozzáfér az érzékeny tárgyalásokhoz, hatalmas befolyással rendelkezik, és ha az illető érdekei eltérnek az ügyfélétől, az ügyfél talán soha nem tudja meg.

Ez nem pusztán hipotetikus aggodalom. A vpn.social kapcsolódó tudósítása részletezi, hogyan kapott egy volt DigitalMint-tárgyaló 70 hónapot egy BlackCat-ügyletért, és egy külön jelentés beszámol arról, hogyan ítélték a Martino nevű tárgyalót 70 hónapra BlackCat-kapcsolatok miatt. Ezek a cikkek a konkrét eset részleteit tárgyalják, és aláhúzzák a szélesebb tanulságot: a tárgyalóval való kapcsolat olyan bizalmon alapul, amelyet ritkán auditálnak.

A Dark Reading tudósításának tanulsága nem az, hogy minden tárgyaló gyanús. Hanem az, hogy egy ilyen mértékű hozzáféréssel rendelkező beszállító ugyanolyan vizsgálatot érdemel, mint bármely más magas kockázatú belső szereplő.

Milyen veszélynek vannak kitéve az áldozatok és adataik, ha egy beszállító kompromittálódik

Ha egy tárgyaló vagy más reagálási beszállító kompromittálódik, vagy az ügyfél ellen cselekszik, a kitettség jóval túlmutathat magán a váltságdíjon. A tárgyaló által betöltött szerep alapján az aggodalomra okot adó területek a következők:

  • Tárgyalási stratégia: az áldozat költségvetése, határidői és fizetési hajlandósága mind látható a közvetítő számára.
  • Az ellopott adatok részletei: a tárgyalók általában megtudják, mit vittek el, ami fontos mindazok számára, akiknek személyes adatai azokban a fájlokban voltak.
  • Döntéshozatal: a fizetésről, halasztásról vagy ellenállásról szóló tanácsok alakítják a vállalat és az érintett emberek sorsát.
  • Kommunikáció: a támadókkal folytatott minden üzenet a tárgyalón keresztül halad.

Az egyének számára a kockázat közvetett, de valós. Azok az ügyfelek, páciensek és alkalmazottak, akiknek adatai egy feltört szervezetben találhatók, nincs beleszólásuk abba, melyik beszállítót választják, mégis viselik a következményeket, ha ez a választás rosszul sül el.

Hogyan világítsuk át a incidenskezelő beszállítókat, mielőtt szükségünk lenne rájuk

A legjobb idő egy tárgyaló vagy incidenskezelő cég értékelésére a támadás előtt van, amikor nyugodtan feltehetjük a kérdéseket. A forráscikk a beszállítói programok szigorúbb felügyeletét sürgeti, és ezek a lépések gyakorlati módját kínálják ennek az ötletnek. Általános jó gyakorlatok, nem pedig az esetből származó követelmények.

  1. Válasszuk ki a beszállítókat előre. A nyomás alatt történő kiválasztás nem hagy teret az átvilágításnak. Építsünk egy átvilágított rövidlistát az incidenskezelési tervünk részeként.
  2. Kérdezzünk a belső kontrollokról. Hogyan világítja át a cég a saját munkatársait? Ki férhet hozzá az ügyfél-tárgyalásokhoz, és naplózzák-e, illetve felülvizsgálják-e ezt a hozzáférést?
  3. Fektessük írásba az elvárásokat. A szerződéseknek ki kell terjedniük a titoktartásra, az összeférhetetlenségre és a fenyegető szereplőkkel vagy más felekkel fennálló bármilyen kapcsolat felfedésére.
  4. Tartson egy második szem is szemmel a döntéseket. Gondoskodjunk arról, hogy saját vezetőségünk, jogi tanácsadónk vagy biztosítónk vizsgálja felül a fő döntéseket, ahelyett hogy egyetlen személyre hagynánk azokat.
  5. Korlátozzuk az adatmegosztást. Csak azt adjuk a beszállítóknak, amire szükségük van, és tartsunk nyilvántartást arról, mit kaptak.
  6. Rendszeresen vizsgáljuk felül a kapcsolatot. Kezeljük a reagálási beszállítókat a harmadik felek kockázatkezelési programunk részeként, rendszeres ellenőrzésekkel, nem pedig egyszeri jóváhagyással.

Mit jelent ez Önnek

Ha kisvállalkozást vezet, lehet, hogy nincs dedikált biztonsági csapata, ami még fontosabbá teszi a beszállítókba vetett bizalmat. Kérdezze meg kiberbiztosítóját vagy IT-szolgáltatóját, mely reagálási cégekkel dolgoznak, és tudja meg, hogyan felügyelik azokat a cégeket. Néhány most feltett kérdés sokkal kevesebbe kerül, mint egy válság közepén hozott rossz döntés.

Ha magánszemély, a gyakorlati lépés az, hogy korlátozza, mit tartanak róla a szervezetek. Csak azt az adatot ossza meg, amelyre egy szolgáltatásnak valóban szüksége van, használjon egyedi jelszavakat és többtényezős hitelesítést, és figyelje az adatvédelmi incidensről szóló értesítéseket, hogy gyorsan cselekedhessen, ha adatai kiszivárognak. Nem tudja átvilágítani egy cég incidenskezelő beszállítóját, de csökkentheti a kárt, ha valami rosszul sül el.

Fő tanulságok

Egy jól ismert zsarolóvírus-tárgyaló letartóztatása emlékeztető arra, hogy a közvetítők belső kockázatot jelenthetnek, és hogy a zsarolóvírus-tárgyalók belső fenyegetésként való átvilágításának a biztonsági mentések és a javítások mellett kell helyet kapnia a felkészültségi tervünkben. Válasszunk beszállítókat a válság előtt, tegyünk fel kemény kérdéseket a kontrolljaikról, és tartsunk fenn független felügyeletet a fő döntések felett.

A konkrét eset részleteiért olvassa el tudósításunkat az elítélt volt DigitalMint-tárgyalóról. Hogy lássa, miért számít még inkább a beszállítókba vetett bizalom, ahogy a zsarolás fokozódik, tekintse át a zsarolóvírusos támadások személyes fenyegetéseiről szóló felmérést.