Un negoziatore di ransomware dovrebbe essere l'unica persona nella stanza a lottare per la vittima. Questa fiducia è stata infranta nel caso di Angelo Martino, ex negoziatore presso la società di incident response DigitalMint, condannato a 70 mesi di carcere federale per aver passato segretamente informazioni riservate sui clienti alla gang di ransomware BlackCat, gli stessi aggressori contro cui era stato ingaggiato per negoziare.

La condanna chiude uno dei capitoli più inquietanti nella storia recente del ransomware: un caso in cui il presunto difensore giocava su entrambi i lati del tavolo delle trattative.

Un insider di fiducia trasformato in traditore

Quando un'azienda viene colpita da un ransomware, assumere un negoziatore professionista è spesso una delle prime chiamate fatte dopo le forze dell'ordine e i legali. Questi specialisti vengono chiamati proprio perché le vittime sono in panico, tecnicamente sopraffatte e disperate per evitare ulteriori danni. Un buon negoziatore dovrebbe prendere tempo, respingere richieste gonfiate e, in definitiva, ridurre il riscatto a una cifra che la vittima possa sopravvivere a pagare, se il pagamento avviene.

Il ruolo di Martino in DigitalMint lo collocava esattamente in quella relazione. Secondo le indagini giornalistiche, usava il suo accesso ai dettagli dei clienti, incluse le informazioni sulle pressioni a cui le vittime erano sottoposte e su quanto potessero essere disposte a pagare, per aiutare gli operatori di BlackCat a estorcere pagamenti più elevati anziché ridurli. Di fatto, ha ribaltato il compito del negoziatore, lavorando per massimizzare il danno agli stessi clienti che lo avevano assunto per proteggerli.

Come riportato in precedenza da vpn.social, questo meccanismo si basava interamente sul presupposto che la lealtà di un negoziatore vada in un'unica direzione. La condotta di Martino ha infranto quel presupposto in un modo che ha scosso l'intero settore dell'incident response.

Come funzionava lo schema del doppiogiochista

La meccanica dello schema era semplice ma dannosa. Passando dettagli riservati, informazioni assicurative, strategie di negoziazione o quanto un'organizzazione vittima potesse realisticamente permettersi, Martino dava agli aggressori di BlackCat un vantaggio sleale in ogni negoziazione che toccava. Invece di ridursi grazie alla sua presunta azione di advocacy, le richieste di riscatto venivano silenziosamente gonfiate.

Non si è trattato di un incidente isolato. La copertura correlata del caso, incluso un articolo sul più ampio schema di negoziazione di BlackCat, rileva che Martino non era l'unico negoziatore implicato in questo tipo di condotta legata alla stessa operazione ransomware. Un caso separato che coinvolge un negoziatore della Florida condannato in un collegato schema di estorsione sottolinea che non si è trattato di un singolo momento di scarsa lucidità da parte di un unico malintenzionato, ma di uno schema che sfruttava la fiducia strutturale insita nel settore dell'incident response.

La condanna a 70 mesi riflette la serietà con cui i procuratori federali hanno trattato il tradimento: non si è trattato di semplice negligenza o di un fallimento di sicurezza, ma di un insider che deliberatamente agiva contro le persone che avevano riposto la loro fiducia, e i loro dati sensibili, nelle sue mani.

Cosa significa per te

Alla maggior parte delle persone questo caso potrebbe sembrare lontano dalla vita quotidiana, ma tocca qualcosa che dovrebbe interessare tutti: quanta fiducia riponiamo negli intermediari che gestiscono le nostre informazioni più sensibili durante una crisi. I negoziatori di ransomware occupano una posizione unica e privilegiata. Vedono dettagli finanziari interni, lacune di sicurezza e comunicazioni che un'organizzazione vittima non vorrebbe mai fossero rese pubbliche.

Quando quella fiducia viene tradita, le conseguenze vanno oltre le aziende direttamente colpite. Dipendenti, clienti e chiunque avesse dati personali conservati in quei sistemi violati può finire per pagare il prezzo due volte: una prima con l'attacco ransomware originale, e una seconda attraverso un processo di negoziazione che segretamente remava contro di loro.

Questo caso ricorda che la privacy e la sicurezza in un incidente ransomware non finiscono una volta assunto uno specialista. La supervisione, la verifica e la revisione indipendente della condotta del negoziatore contano tanto quanto la risposta iniziale all'attacco stesso.

Spunti concreti

Se la tua organizzazione si trovasse mai a negoziare con operatori ransomware, o se semplicemente desideri capire come si svolgono questi incidenti, emergono alcune lezioni dal caso Martino:

  • Esamina attentamente i fornitori di incident response e chiedi come monitorano il proprio personale per conflitti di interesse durante le negoziazioni attive.
  • Richiedi trasparenza su chi ha accesso ai dettagli sensibili della negoziazione, inclusi limiti finanziari e informazioni assicurative.
  • Prendi in considerazione una supervisione indipendente o un secondo punto di contatto quando sono coinvolte richieste di riscatto elevate, invece di affidarti unicamente al resoconto del processo fatto da un singolo negoziatore.
  • Tieniti informato su come funziona realmente la negoziazione di ransomware, poiché comprendere gli incentivi in gioco aiuta le organizzazioni a porre domande migliori prima, e non dopo, che si verifichi un attacco.

La condanna di un negoziatore di ransomware per aver tradito i propri clienti è un caso estremo, ma evidenzia una semplice verità: la fiducia in una crisi va guadagnata e verificata, non data per scontata.