Orang Dalam Tepercaya Berkhianat terhadap Kliennya Sendiri
Ketika sebuah perusahaan terkena ransomware, biasanya mereka memanggil seorang negosiator, seseorang yang bertugas berkomunikasi dengan penyerang, menilai situasi, dan berusaha mengurangi kerusakan. Hubungan itu sepenuhnya bergantung pada kepercayaan. Seorang mantan negosiator di perusahaan respons insiden DigitalMint baru saja menunjukkan apa yang terjadi ketika kepercayaan itu dikhianati.
Angelo Martino, 41, dijatuhi hukuman 70 bulan penjara federal karena berkonspirasi dengan kelompok ransomware BlackCat (juga dikenal sebagai ALPHV) saat bekerja sebagai negosiator yang seharusnya mewakili kepentingan korban. Alih-alih membela kliennya, Martino menggunakan posisinya untuk memberikan informasi kembali kepada para penjahat yang sedang coba dilawan oleh kliennya, menurut laporan dari Help Net Security. Kasus ini, yang dijelaskan lebih lanjut dalam liputan kami sebelumnya tentang hukuman 70 bulan negosiator DigitalMint, menyoroti ancaman yang tidak pernah terpikirkan oleh sebagian besar korban ransomware: orang yang dibayar untuk melindungi mereka.
Mengapa Negosiator Ransomware Memegang Begitu Banyak Data Sensitif
Negosiator ransomware menempati posisi istimewa yang unik. Untuk menjalankan tugasnya secara efektif, mereka biasanya memerlukan akses ke rincian yang tidak pernah dilihat oleh sebagian besar karyawan di dalam organisasi korban: cakupan pelanggaran, data apa yang dicuri, berapa besar cakupan asuransi siber yang dimiliki perusahaan, dan berapa banyak yang secara realistis bersedia atau mampu dibayarkan oleh perusahaan. Informasi itu sangat berharga bagi penyerang. Mengetahui batas asuransi korban, misalnya, memungkinkan kelompok ransomware menyesuaikan tuntutan tebusan untuk memeras pembayaran semaksimal mungkin.
Inilah tepatnya yang membuat kasus Martino penting dari sudut pandang privasi. Ini bukan peretas eksternal yang membobol sistem perusahaan. Ini adalah orang dalam, seseorang yang dibawa khusus karena akses sensitif yang dibutuhkan oleh perannya, yang diduga menggunakan akses itu untuk melawan orang yang mempekerjakannya. Perusahaan respons insiden dan negosiasi ada karena sebagian besar organisasi tidak memiliki keterampilan khusus untuk menangani krisis ransomware secara internal. Ketergantungan pada ahli eksternal itu wajar dan sering kali diperlukan, tetapi itu juga berarti korban memberikan kepercayaan kepada pihak ketiga dengan kemampuan minimal untuk memverifikasi secara independen bahwa kepercayaan itu memang pantas.
Ekosistem ransomware yang lebih luas sudah memaksa korban untuk melakukan kompromi privasi yang sulit. Membayar tebusan tidak menjamin data yang dicuri akan dihapus, dan bernegosiasi dengan itikad baik mengasumsikan pihak lain, dan semua orang yang menasihati Anda, juga bertindak dengan itikad baik. Kasus seperti ini merusak asumsi tersebut dengan cara yang bisa membuat korban lebih ragu untuk mengungkapkan informasi sepenuhnya kepada para profesional yang seharusnya membantu mereka, berpotensi memperlambat respons insiden pada saat yang paling krusial.
Apa Artinya Ini Bagi Anda
Kebanyakan pembaca tidak akan pernah secara pribadi menyewa negosiator ransomware, tetapi pelajaran mendasarnya berlaku secara luas: vendor pihak ketiga yang memiliki akses ke data sensitif Anda hanya sepercaya mata rantai terlemah di dalam organisasi vendor tersebut. Baik itu firma hukum, kontraktor respons insiden, penyedia cloud, atau perusahaan mana pun yang menangani informasi pribadi atau keuangan Anda, keamanan hubungan itu bergantung pada kontrol internal yang tidak dapat Anda lihat dari luar.
Bagi bisnis, kasus ini adalah pengingat untuk mengajukan pertanyaan sulit sebelum dan selama insiden ransomware. Siapa di firma negosiasi yang memiliki akses ke rincian asuransi dan wewenang pembayaran? Apakah ada kontrol internal yang mencegah satu karyawan berkomunikasi langsung dengan pelaku ancaman tanpa pengawasan? Apakah percakapan dicatat dan ditinjau? Ini bukanlah pertanyaan yang terpikirkan oleh kebanyakan perusahaan di tengah krisis, tetapi seharusnya menjadi bagian dari uji tuntas sebelum pelanggaran terjadi, bukan setelahnya.
Bagi individu, kesimpulannya lebih tidak langsung tetapi tetap relevan. Ketika perusahaan tempat Anda berbisnis mengalami serangan ransomware, penanganan insiden itu, termasuk siapa yang memiliki akses ke data Anda yang telah dikompromikan selama negosiasi, sebagian besar di luar kendali Anda. Itu adalah satu alasan lagi untuk meminimalkan seberapa banyak data pribadi sensitif yang Anda bagikan dengan satu organisasi tertentu sejak awal, dan menggunakan alat seperti pengelola kata sandi dan autentikasi multi-faktor sehingga satu pelanggaran tidak dapat menjalar menjadi kompromi akun yang lebih luas.
Intisari untuk Mengantisipasi Risiko Orang Dalam
Hukuman ini mengirimkan sinyal yang jelas bahwa pengkhianatan orang dalam selama respons ransomware membawa konsekuensi hukum yang serius, tetapi pencegahan lebih penting daripada hukuman setelah kejadian. Jika organisasi Anda bekerja dengan firma respons insiden atau negosiasi, desaklah kontrol akses yang terdokumentasi, pengawasan independen terhadap negosiasi, dan akuntabilitas kontrak yang jelas. Jika Anda adalah individu yang terkena dampak pelanggaran di perusahaan yang Anda percayai, tanggapi pemberitahuan dengan serius, ubah kata sandi yang digunakan kembali, dan pantau akun yang terkait dengan organisasi itu.
Kasus Martino kemungkinan akan dikutip selama bertahun-tahun sebagai contoh peringatan di bidang negosiator ransomware. Bagi semua orang, ini adalah pengingat yang berguna bahwa kepercayaan dalam krisis harus didapatkan dan diverifikasi, bukan diasumsikan.
