Egy megbízható tárgyaló a támadóknak dolgozott

Amikor egy vállalatot ransomware-támadás ér, az egyik első hívás gyakran egy profi tárgyalóhoz szól, akit azért szerződtetnek, hogy lealkudja a váltságdíj-igényt, időt nyerjen, és pufferként működjön a pánikba esett vezetők és a bűnöző hackerek között. Ez a rendszer teljes mértékben a bizalmon alapul. Egy friss szövetségi ítélet megmutatja, mi történik, amikor ez a bizalom belülről törik meg.

Egy ransomware-tárgyalót 70 hónap szövetségi börtönre ítéltek, miután az ügyészek megállapították, hogy titokban összejátszott a BlackCat (más néven ALPHV) ransomware-csoporttal, miközben azt állította, hogy az áldozatokat képviseli. Ahelyett, hogy védte volna az őt megbízó cégeket, a vád szerint érzékeny részleteket adott át a támadóknak, beleértve az ügyfelek biztosítási fedezetére és fizetési korlátaira vonatkozó információkat, ami lehetővé tette a bűnözők számára, hogy több pénzt követeljenek és hatékonyabban gyakoroljanak nyomást. Az ítélet részeként elkobozzák a csaláshoz kötődő kriptovalutát is.

Az ügy legalább öt áldozati szervezetet azonosított, köztük egy floridai orvosi eszközöket gyártó céget, amelyet kezdetben 10 millió dolláros váltságdíj-követeléssel zsaroltak, mielőtt végül körülbelül 1,2 millió dollárt fizetett, egy marylandi gyógyszeripari vállalatot és egy orvosi rendelőt. A csalás teljes terjedelme a jelentések szerint rivalizáló ransomware-bandák közötti belviszályokkal is összefonódott: az egyik csoport azzal fenyegetőzött, hogy leleplezi a másik műveleteit – emlékeztetve arra, hogy még a bűnözői ökoszisztémák sem mentesek a belső konfliktusoktól és az árulástól.

Hogyan ásta alá a csalás az áldozatokat

A ransomware-tárgyalók egyedülállóan érzékeny pozíciót töltenek be. Munkájuk elvégzéséhez általában olyan információkhoz kell hozzáférniük, amelyeket a legtöbb cég soha nem adna ki külső félnek: mennyi készpénz áll rendelkezésre, mire terjed ki valójában a kiberbiztosítás, mik a belső határidők, és mennyire elkeseredett a vezetés a helyzet csendes megoldásában. Ezeknek az információknak bizalmasnak kell maradniuk, és kizárólag az ügyfél érdekeinek védelmére szabad felhasználni a tárgyalás során.

Ha egy tárgyaló ehelyett átadja ezeket az információkat a támadóknak, az incidenskezelési folyamat már azelőtt kompromittálódik, hogy elkezdődne. Az áldozatok azt hiszik, tájékozott stratégiai pozícióból tárgyalnak, miközben a másik fél már ismeri a pénzügyi plafont. Ez az egyensúlyhiány valószínűleg megmagyarázza, hogy miért eszkalálódtak ilyen agresszíven a követelések ezekben az esetekben, és hogy a floridai orvosi eszközgyártó kezdeti követelése miért volt nyolcszorosa annak, amit végül kifizetett.

Ez nem elszigetelt eset. Ahogy egy floridai ransomware-tárgyaló külön amerikai zsarolási ügyben való elítéléséről szóló beszámolónkban írtuk, a bűnüldöző szervek több olyan tárgyalót is azonosítottak, akik ugyanahhoz a BlackCat-kapcsolatú zsaroló hálózathoz kötődnek. A minta arra utal, hogy ez nem egyszeri árulás volt, hanem szándékos, legalább részben szervezett kísérlet az incidenskezelési iparág belülről történő kihasználására.

Adatvédelmi következmények az adatsértés áldozatai számára

Az adatvédelmi kihatások jóval túlmutatnak a váltságdíjak összegén. Az orvosi eszközöket gyártó cégek, gyógyszeripari vállalatok és orvosi rendelők rutinszerűen tárolnak érzékeny beteg- és egészségügyi adatokat. Amikor egy tárgyaló titokban az áldozat érdekei ellen dolgozik, valós kérdések merülnek fel azzal kapcsolatban, hogy milyen más érzékeny információk kerülhettek nyilvánosságra, kezelhették azokat helytelenül, vagy használhatták fel további nyomásgyakorlásra a zsarolási folyamat során. Az egészségügyben és más szabályozott ágazatokban működő vállalatoknak már most is szigorú adatvédelmi kötelezettségek mellett kell védeniük a betegadatokat, és egy belső árulás a ransomware-incidens során megnehezít minden további döntést, beleértve azt is, hogy kell-e és hogyan értesíteni az érintett személyeket.

Rámutat egy olyan vakfoltra is, amelyet sok szervezet csak akkor vesz figyelembe, amikor már túl késő: az incidenskezelési szolgáltatókat, beleértve a tárgyalókat, a kriminalisztikai cégeket és akár az adatsértés során bevont jogi tanácsadókat is, ritkán ellenőrzik ugyanolyan alapossággal, mint más harmadik felekkel kapcsolatos kockázatokat. Egy vállalat alapos átvilágítást végezhet egy felhőszolgáltatónál vagy szoftverbeszállítónál, mégis krízishelyzetben leginkább hírnév vagy sürgősség alapján hoz be egy tárgyalót.

Mit jelent ez Önnek

Ha szervezetének valaha ransomware-tárgyalót vagy incidenskezelési céget kell felbérelnie, ez az eset okot ad arra, hogy lassítson, ne pánikoljon. Ellenőriztesse a hitelesítő adatokat függetlenül, ahelyett hogy kizárólag a biztosítója vagy egyetlen kapcsolattartó ajánlására hagyatkozna. Tegyen fel közvetlen kérdéseket arról, hogyan kezelik, tárolják és osztják meg az ügyféladatokat, és ragaszkodjon dokumentált korlátokhoz arra vonatkozóan, hogy a tárgyaló mit árulhat el és mit nem. Ha a kiberbiztosítási szerződése meghatározott szolgáltatói listát ír elő, tekintse át ezt a listát proaktívan, még a támadás előtt, ahelyett hogy egy aktív incidens során kapkodna, amikor mind az érdekérvényesítő képesség, mind az ítélőképesség sérül.

Magánszemélyek számára a tanulság egyszerűbb, de ugyanolyan fontos: ha értesítik, hogy egy egészségügyi szolgáltató, gyógyszertár vagy orvosi eszközöket gyártó cég, amellyel kapcsolatba lépett, ransomware-incidenst szenvedett, vegye komolyan az értesítést még akkor is, ha a cég azt állítja, hogy az adatok kiszivárgása korlátozott volt. Az ehhez hasonló esetek azt mutatják, hogy egy adatsértés belső kezelése sokkal zavarosabb lehet, mint amit a nyilvános nyilatkozatok sugallnak.

Összefoglalás

Ez az ítélet ritka, konkrét példája annak, hogyan lehet a ransomware-tárgyaló teljes mértékben a titoktartásra és bizalomra épülő szerepét fegyverként használni azok ellen a szervezetek ellen, amelyeket védenie kellene. Ellenőriztesse az incidenskezelési szolgáltatókat, mielőtt krízis bekövetkezne, építsen be egyértelmű információmegosztási korlátokat minden szerződésbe, és ne feledje, hogy a ransomware-tárgyaló alkupozíciója azon múlik, hogy a titok az Ön oldalán marad, nem a támadóén.