Negosiator Tepercaya Ternyata Bekerja untuk Para Penyerang
Ketika sebuah perusahaan terkena ransomware, salah satu panggilan pertama yang sering dilakukan adalah kepada negosiator profesional, seseorang yang disewa untuk menekan jumlah tebusan, mengulur waktu, dan menjadi penyangga antara para eksekutif yang panik dan peretas kriminal. Sistem itu sepenuhnya bergantung pada kepercayaan. Sebuah putusan pengadilan federal baru-baru ini menunjukkan apa yang terjadi ketika kepercayaan itu dikhianati dari dalam.
Seorang negosiator ransomware telah dijatuhi hukuman 70 bulan penjara federal setelah jaksa menemukan bahwa ia diam-diam bersekongkol dengan kelompok ransomware BlackCat (juga dikenal sebagai ALPHV) sambil mengaku mewakili para korban. Alih-alih melindungi perusahaan yang menyewanya, ia diduga membocorkan detail sensitif kepada para penyerang, termasuk informasi tentang cakupan asuransi dan batas pembayaran klien, yang memberi para penjahat keunggulan untuk menuntut lebih banyak uang dan menekan secara lebih efektif. Sebagai bagian dari hukuman, ia juga harus menyerahkan aset kripto yang terkait dengan rencana tersebut.
Kasus ini mengidentifikasi setidaknya lima organisasi korban, termasuk sebuah perusahaan alat kesehatan di Florida yang awalnya dimintai tebusan sebesar $10 juta sebelum akhirnya membayar sekitar $1,2 juta, sebuah perusahaan farmasi di Maryland, dan sebuah klinik dokter. Cakupan penuh dari rencana ini dilaporkan juga bersinggungan dengan pertikaian antar geng ransomware saingan, dengan satu kelompok mengancam akan mengekspos operasi kelompok lain, sebuah pengingat bahwa bahkan ekosistem kejahatan pun tidak kebal terhadap konflik internal dan pengkhianatan.
Bagaimana Skema Itu Merugikan Korban
Negosiator ransomware menduduki posisi yang sangat sensitif. Untuk menjalankan tugasnya, mereka biasanya memerlukan akses ke informasi yang tidak akan pernah diberikan oleh kebanyakan perusahaan kepada pihak luar: berapa banyak uang tunai yang tersedia, apa yang sebenarnya ditanggung oleh polis asuransi siber, tenggat waktu internal, dan seberapa putus asa pimpinan untuk menyelesaikan situasi secara diam-diam. Informasi itu seharusnya dijaga kerahasiaannya dan hanya digunakan untuk melindungi kepentingan klien selama negosiasi.
Ketika seorang negosiator malah meneruskan informasi itu kepada para penyerang, seluruh proses tanggap insiden telah dikompromikan bahkan sebelum dimulai. Para korban meyakini bahwa mereka bernegosiasi dari posisi strategi yang terinformasi, padahal kenyataannya pihak lawan sudah mengetahui batas keuangan mereka. Ketidakseimbangan itu kemungkinan menjelaskan mengapa tuntutan dalam kasus-kasus ini meningkat begitu agresif, dan mengapa permintaan awal perusahaan alat kesehatan delapan kali lebih tinggi dari yang akhirnya dibayarkan.
Ini bukan insiden yang berdiri sendiri. Seperti yang kami laporkan dalam liputan kami tentang negosiator ransomware Florida yang dijatuhi hukuman dalam kasus pemerasan terpisah di AS, penegak hukum kini telah mengidentifikasi banyak negosiator yang terhubung ke jaringan pemerasan terkait BlackCat yang sama. Pola ini menunjukkan bahwa ini bukan pengkhianatan satu kali, melainkan upaya yang disengaja, setidaknya terorganisir sebagian, untuk mengeksploitasi industri tanggap insiden dari dalam.
Implikasi Privasi bagi Korban Pembobolan
Dampak privasi di sini jauh melampaui jumlah tebusan. Perusahaan alat kesehatan, firma farmasi, dan klinik dokter secara rutin menyimpan data pasien dan kesehatan yang sensitif. Ketika seorang negosiator diam-diam bekerja melawan kepentingan korban, hal itu menimbulkan pertanyaan nyata tentang informasi sensitif lain apa yang mungkin telah terpapar, salah penanganan, atau digunakan sebagai tekanan tambahan selama proses pemerasan. Perusahaan yang beroperasi di sektor kesehatan dan sektor teregulasi lainnya sudah diharuskan melindungi data pasien di bawah kewajiban privasi yang ketat, dan pengkhianatan orang dalam selama insiden ransomware mempersulit setiap keputusan lanjutan, termasuk apakah dan bagaimana memberi tahu individu yang terkena dampak.
Ini juga menyoroti titik buta yang tidak dipertimbangkan oleh banyak organisasi sampai terlambat: vendor tanggap insiden, termasuk negosiator, firma forensik, dan bahkan penasihat hukum yang dilibatkan selama pembobolan, jarang diperiksa dengan ketelitian yang sama seperti yang diterapkan pada risiko pihak ketiga lainnya. Sebuah perusahaan mungkin melakukan uji tuntas yang ekstensif pada penyedia cloud atau vendor perangkat lunak, tetapi membawa negosiator selama krisis sebagian besar berdasarkan reputasi atau urgensi.
Artinya Bagi Anda
Jika organisasi Anda suatu saat perlu menyewa negosiator ransomware atau firma tanggap insiden, kasus ini adalah alasan untuk melambat, bukan panik. Verifikasi kredensial secara independen alih-alih hanya mengandalkan rujukan dari perusahaan asuransi Anda atau satu kontak tunggal. Ajukan pertanyaan langsung tentang bagaimana informasi klien ditangani, disimpan, dan dibagikan, dan tegaskan batasan yang terdokumentasi seputar apa yang boleh dan tidak boleh diungkapkan negosiator. Jika polis asuransi siber Anda menetapkan daftar vendor tertentu, tinjau daftar itu secara proaktif, sebelum serangan terjadi, daripada terburu-buru selama insiden aktif ketika posisi tawar dan penilaian sama-sama terganggu.
Bagi individu, pesannya lebih sederhana namun tetap penting: jika Anda menerima pemberitahuan bahwa penyedia layanan kesehatan, apotek, atau perusahaan alat kesehatan yang pernah berinteraksi dengan Anda mengalami insiden ransomware, anggap serius pemberitahuan itu meskipun perusahaan mengatakan paparan data terbatas. Kasus seperti ini menunjukkan bahwa penanganan internal terhadap pembobolan bisa jauh lebih berantakan daripada yang terlihat dari pernyataan publik.
Poin Penting
Putusan ini adalah contoh langka dan nyata tentang bagaimana peran negosiator ransomware, yang dibangun sepenuhnya di atas kerahasiaan dan kepercayaan, dapat dipersenjatai melawan organisasi yang seharusnya ia lindungi. Periksa vendor tanggap insiden Anda sebelum krisis melanda, bangun batasan berbagi informasi yang jelas ke dalam setiap kontrak, dan ingat bahwa pengaruh seorang negosiator ransomware bergantung pada kerahasiaan yang tetap rahasia—di pihak Anda, bukan penyerang.
