Apa yang Terjadi: Negosiator yang Bekerja untuk Kedua Belah Pihak

Ketika sebuah perusahaan terkena ransomware, salah satu panggilan pertama yang dilakukan adalah kepada negosiator: seorang spesialis yang dipercaya untuk menjembatani korban yang panik dan geng kriminal, berupaya mengurangi tuntutan tebusan atau mengulur waktu demi pemulihan. Hubungan itu sepenuhnya bergantung pada kepercayaan. Menurut laporan dari Malwarebytes, salah satu negosiator mengkhianati kepercayaan itu dengan cara yang paling merusak. Alih-alih membantu korban melawan geng ransomware BlackCat, ia diam-diam memberikan informasi kepada para pelaku kriminal dari dalam perundingan yang seharusnya ia jalankan atas nama korban.

Hasilnya adalah skenario ancaman orang dalam lewat negosiator ransomware yang merugikan korban jutaan dolar. Alih-alih menjadi perisai antara perusahaan dan penyerangnya, negosiator justru berubah menjadi penyerang kedua, yang punya akses istimewa terhadap batas keuangan korban, strategi hukum, dan kesediaan membayar. Itu adalah kegagalan respons insiden yang paling parah, karena mengubah perlindungan yang dibayar oleh organisasi menjadi beban.

Bagaimana Geng Ransomware-as-a-Service Merekrut Perantara Tepercaya

BlackCat, yang juga dikenal sebagai ALPHV, beroperasi sebagai kelompok ransomware-as-a-service (RaaS), artinya mereka melisensikan malware dan infrastrukturnya kepada afiliasi yang melancarkan serangan dan membagi hasilnya. Model bisnis ini selalu bergantung pada membangun jaringan orang-orang yang bersedia bekerja sama demi bagian keuntungan, mulai dari perantara akses awal yang menjual kredensial curian hingga afiliasi yang menerjunkan muatan enkripsi sebenarnya. Negosiator yang terkompromi atau terlibat hanyalah perluasan logis berikutnya dari jaringan tersebut: seseorang yang tertanam dalam ekosistem respons insiden yang sah dan dapat membagikan intel yang tak akan bisa diperoleh geng sendiri.

Inilah alasan mengapa kasus ini penting melampaui BlackCat sendiri. Geng ransomware semakin memahami bahwa mata rantai terlemah dalam respons pembobolan tidak selalu firewall atau server yang belum ditambal. Itu bisa berupa orang, dan khususnya orang yang dipilih korban untuk dipercayai pada saat-saat paling genting dalam sebuah insiden keamanan. Prinsip yang sama dalam mengeksploitasi kepercayaan dan akses muncul di seluruh lanskap ransomware dan pemerasan data, termasuk dalam insiden seperti pembobolan ShinyHunters pada sistem HR Dewan Eropa, di mana para penyerang sekali lagi menunjukkan betapa efektifnya grup kriminal dapat memanfaatkan akses internal begitu mereka menemukan jalan masuk.

Mengapa Hal Ini Memperluas Permukaan Serangan bagi Korban Pembobolan

Sebagian besar organisasi memikirkan risiko ransomware dari sisi jaringan mereka sendiri: endpoint, server, cadangan, pelatihan karyawan. Jauh lebih sedikit yang memikirkan risiko yang ditimbulkan oleh vendor dan konsultan yang mereka bawa setelah serangan sudah dimulai. Tapi seorang negosiator, seperti penyelidik forensik atau pelatih pembobolan, sering kali memiliki akses ke beberapa informasi paling sensitif yang dimiliki perusahaan selama krisis: jumlah tebusan yang siap dibayar korban, data apa yang benar-benar dicuri, dan seberapa putus asa organisasi menghindari pengungkapan publik.

Saat akses itu disalahgunakan, kerusakan melipat ganda. Korban tidak hanya kehilangan uang untuk tebusan itu sendiri, mereka juga kehilangan semua daya tawar yang semula dimiliki dalam perundingan, karena geng sudah tahu batas bawah mereka bahkan sebelum pembicaraan dimulai. Kasus ini adalah pengingat bahwa rantai pasokan respons insiden layak mendapat pengawasan yang sama seperti hubungan vendor lainnya, dan bahwa kepercayaan dalam krisis jangan pernah dianggap sepele hanya karena seseorang memegang jabatan yang tepat.

Cara Memeriksa Penanggap Insiden dan Negosiator Sebelum Krisis Terjadi

Waktu terbaik untuk memeriksa seorang negosiator ransomware atau firma respons insiden adalah sebelum serangan terjadi, bukan saat terjadi, ketika tekanan waktu membuat uji tuntas yang cermat hampir mustahil. Organisasi dapat mengambil beberapa langkah konkret:

  • Konfirmasi rekam jejak firma dan minta referensi dari klien sebelumnya yang mengalami insiden serupa.
  • Tanyakan bagaimana firma memeriksa stafnya sendiri, termasuk pemeriksaan latar belakang dan kontrol internal siapa yang dapat mengakses rincian perundingan.
  • Mintalah log komunikasi yang terdokumentasi dan dapat diaudit selama setiap perundingan, alih-alih hanya mengandalkan satu kontak tunggal.
  • Libatkan penasihat hukum eksternal atau penasihat keamanan kedua untuk memverifikasi secara independen keputusan-keputusan besar, seperti jumlah tebusan atau waktu pembayaran.
  • Bangun hubungan vendor dan kontrak ini sebelumnya, sebagai bagian dari prapembayaran respons insiden, bukan terburu-buru mencari bantuan di tengah pembobolan.

Apa Artinya untuk Anda

Jika organisasi Anda memiliki rencana respons ransomware, kasus ini adalah pendorong yang baik untuk meninjau kembali siapa yang benar-benar berada dalam rencana itu dan seberapa baik Anda mengenal mereka. Ancaman orang dalam negosiator ransomware jarang terjadi, tetapi konsekuensinya cukup parah sehingga sedikit pemeriksaan pendahuluan sepadan dengan usaha. Logika yang sama berlaku untuk setiap pihak ketiga dengan akses istimewa selama pembobolan: penyelidik forensik, penasihat hukum, dan firma hubungan publik semua layak mendapat pengawasan yang sama seperti yang akan Anda terapkan kepada vendor perangkat lunak baru.

Hal-Hal Penting

  • Periksa firma respons insiden dan perundingan sebelum krisis, termasuk pemeriksaan latar belakang staf dan referensi.
  • Minta log semua perundingan tebusan yang terdokumentasi dan dapat diaudit alih-alih hanya mengandalkan satu individu tepercaya.
  • Perlakukan penanggap pihak ketiga sebagai bagian dari permukaan serangan Anda, bukan hanya pertahanan Anda.
  • Tetap waspada tentang bagaimana geng ransomware dan pemerasan mengeksploitasi kepercayaan di setiap tahap pembobolan, dari akses awal hingga perundingan akhir.