Orang Dalam Tepercaya yang Berubah Menjadi Kaki Tangan
Ketika sebuah perusahaan menjadi korban ransomware, perusahaan sering beralih ke negosiator khusus untuk menangani percakapan sensitif dan berisiko tinggi dengan para penyerang. Itulah peran Angelo Martino, 41, di DigitalMint, sebuah firma yang membantu organisasi menavigasi insiden ransomware dan menegosiasikan pembayaran atas nama mereka. Martino dilibatkan dalam kasus-kasus pembobolan yang sedang berlangsung, duduk di sisi meja yang seharusnya melindungi korban.
Namun, menurut catatan pengadilan, Martino diam-diam bekerja sama dengan afiliasi kelompok ransomware BlackCat (juga dikenal sebagai ALPHV), salah satu operasi pemerasan paling ternama dalam beberapa tahun terakhir. Alih-alih membela kepentingan kliennya, ia diduga membocorkan informasi rahasia kepada para penyerang dari dalam negosiasi yang seharusnya ia lakukan atas nama para korban. Pengetahuan orang dalam itu kabarnya membantu geng tersebut memeras pembayaran yang lebih besar, dengan laporan yang menunjukkan bahwa skema itu berkontribusi pada sekitar $75 juta yang diperas dari organisasi korban di berbagai kasus. Martino mengaku bersalah dan dijatuhi hukuman 70 bulan penjara federal.
Bagaimana Skema Ini Merusak Negosiasi Ransomware
Negosiasi ransomware ada karena perusahaan yang menghadapi serangan sering kali tidak memiliki keahlian khusus untuk berkomunikasi dengan kelompok kriminal, menilai kredibilitas ancaman, atau menentukan apakah membayar tebusan itu bijaksana. Perusahaan seperti DigitalMint seharusnya bertindak sebagai tembok api, menggunakan pengalaman mereka untuk mengurangi tuntutan, memverifikasi kemampuan pemulihan data, dan mencegah korban dieksploitasi dua kali.
Kasus Martino membalikkan model itu. Dengan membocorkan detail sensitif dari negosiasi yang sedang berjalan, termasuk informasi internal klien, ambang batas keuangan, dan posisi tawar korban, ia secara efektif menyerahkan buku panduan yang dibutuhkan afiliasi BlackCat untuk mendorong pembayaran maksimum. Itu adalah pelanggaran kepercayaan yang mendalam, tidak hanya antara Martino dan majikannya, tetapi antara majikannya dan setiap klien yang mengira tim respons krisis mereka bekerja secara eksklusif untuk mereka.
Kolusi orang dalam semacam ini sangat merusak karena korban ransomware sudah berada dalam posisi rentan. Mereka sering berada di bawah tekanan untuk membuat keputusan cepat tentang data sensitif, waktu henti operasional, dan paparan regulasi. Kasus seperti pembayaran tebusan Instructure setelah pembobolan Canvas menunjukkan bagaimana organisasi kadang-kadang menyimpulkan bahwa pembayaran adalah opsi yang paling tidak merusak. Ketika negosiator yang menangani keputusan itu memiliki insentif keuangan untuk bekerja melawan korban, seluruh perhitungan yang digunakan untuk membenarkan pembayaran menjadi terkompromi.
Mengapa Kasus Ini Menimbulkan Kekhawatiran Privasi yang Lebih Besar bagi Bisnis
Implikasi privasi di sini jauh melampaui kerugian finansial langsung. Negosiasi ransomware biasanya melibatkan pembagian materi yang sangat sensitif: cakupan data yang dicuri, penilaian keamanan internal, komunikasi eksekutif, dan detail tentang apa yang bersedia dibayar perusahaan. Korban membagikan informasi ini dengan asumsi bahwa informasi itu tetap berada dalam lingkaran terkendali dari para responden tepercaya.
Tindakan Martino menunjukkan bahwa ekosistem respons insiden itu sendiri bisa menjadi titik kegagalan. Bahkan organisasi yang melakukan segalanya dengan benar setelah pembobolan, menyewa firma bereputasi baik, mengikuti protokol yang direkomendasikan, dan bekerja sama dengan penegak hukum, posisi data dan negosiasi mereka tetap dapat dirusak dari dalam. Ini mencerminkan taktik tekanan yang terlihat dalam kampanye pemerasan terkenal lainnya, seperti taktik eskalasi yang digunakan ketika ShinyHunters merusak portal sekolah selama kampanye tebusan Canvas, di mana para penyerang mengandalkan rasa malu publik dan pengaruh data untuk memaksa penyelesaian.
Apa Artinya Bagi Anda
Jika organisasi Anda suatu saat harus bernegosiasi dengan kelompok ransomware, kasus ini adalah pengingat bahwa proses pemilihan vendor layak mendapatkan pengawasan yang sama ketatnya dengan alat keamanan siber Anda. Tanyakan kepada firma negosiasi potensial tentang kontrol internal, pemeriksaan latar belakang karyawan, dan bagaimana data klien disegmentasi serta dipantau selama kasus aktif. Minta kejelasan tentang siapa yang memiliki akses ke detail negosiasi dan apakah ada individu yang memiliki wewenang tanpa pengawasan atas komunikasi dengan penyerang.
Bagi individu dan bisnis kecil tanpa sumber daya untuk uji tuntas vendor yang ekstensif, intinya lebih luas: minimalkan data sensitif yang dapat terekspos sejak awal. Praktik pencadangan yang kuat, segmentasi jaringan, dan membatasi jumlah data pribadi atau keuangan yang disimpan dalam sistem yang mudah diakses, semuanya mengurangi pengaruh yang dapat dipegang oleh kelompok ransomware, atau orang dalam yang terkompromi, atas Anda.
Poin-Poin Penting
- Periksa firma respons insiden dan negosiasi dengan ketelitian yang sama seperti yang Anda terapkan pada vendor mana pun yang menangani data sensitif.
- Tanyakan bagaimana firma negosiasi secara internal memantau dan mengaudit akses karyawan selama kasus ransomware aktif.
- Kurangi volume data sensitif yang disimpan dalam sistem yang rentan terhadap kompromi, karena lebih sedikit paparan berarti lebih sedikit pengaruh bagi penyerang atau orang dalam.
- Perlakukan negosiasi ransomware sebagai keputusan yang memerlukan pengawasannya sendiri, bukan kotak hitam yang sepenuhnya ditangani oleh pihak ketiga.
Kasus Martino adalah contoh langka namun serius dari pengkhianatan orang dalam dalam industri respons ransomware. Itu tidak berarti firma negosiasi tidak dapat dipercaya secara luas, tetapi menegaskan bahwa kepercayaan harus diverifikasi, bukan diasumsikan, terutama ketika detail pembobolan paling sensitif perusahaan dipertaruhkan.
