Cosa è Successo: Il Negoziatore che Lavorava per Entrambe le Parti

Quando un'azienda viene colpita da un ransomware, una delle prime chiamate che fa è a un negoziatore: uno specialista di fiducia che si pone tra una vittima in preda al panico e una banda criminale, lavorando per ridurre la richiesta di riscatto o guadagnare tempo per il recupero. Quel rapporto si basa interamente sulla fiducia. Secondo quanto riportato da Malwarebytes, uno di questi negoziatori ha infranto quella fiducia nel modo più dannoso possibile. Invece di aiutare le vittime a opporsi alla banda del ransomware BlackCat, ha segretamente fornito ai criminali informazioni dall'interno delle trattative che avrebbe dovuto condurre per conto delle vittime.

Il risultato è stato uno scenario di minaccia interna da parte di un negoziatore di ransomware che è costato milioni alle vittime. Invece di fungere da barriera tra un'azienda e il suo aggressore, il negoziatore è diventato di fatto un secondo aggressore, con accesso privilegiato ai limiti finanziari, alla strategia legale e alla disponibilità a pagare della vittima. Questo è quanto di peggio possa accadere in un fallimento della risposta agli incidenti, perché trasforma proprio la salvaguardia per cui le organizzazioni pagano in una passività.

Come le Bande di Ransomware-as-a-Service Reclutano Intermediari di Fiducia

BlackCat, noto anche come ALPHV, opera come gruppo di ransomware-as-a-service (RaaS), il che significa che concede in licenza il suo malware e la sua infrastruttura ad affiliati che eseguono gli attacchi e dividono i profitti. Questo modello di business si è sempre basato sulla creazione di reti di persone disposte a cooperare per una parte dei proventi, dai broker di accesso iniziale che vendono credenziali rubate agli affiliati che distribuiscono il vero e proprio payload di cifratura. Un negoziatore compromesso o compiacente è semplicemente la logica estensione successiva di quella rete: qualcuno inserito nell'ecosistema legittimo della risposta agli incidenti che può condividere informazioni che la banda non potrebbe mai ottenere da sola.

È proprio per questo che il caso è importante al di là di BlackCat stesso. Le bande di ransomware capiscono sempre di più che l'anello debole nella risposta a una violazione non è sempre un firewall o un server non aggiornato. Può essere una persona, e nello specifico una persona che la vittima ha scelto di fidarsi durante il momento più stressante di un incidente di sicurezza. Lo stesso principio di sfruttare la fiducia e l'accesso si manifesta in tutto il panorama del ransomware e dell'estorsione di dati, incluso in incidenti come la violazione di ShinyHunters ai sistemi HR del Consiglio d'Europa, dove gli aggressori hanno nuovamente dimostrato quanto efficacemente i gruppi criminali possano sfruttare l'accesso interno una volta trovato un modo per entrare.

Perché Questo Amplia la Superficie di Attacco per le Vittime di Violazioni

La maggior parte delle organizzazioni pensa al rischio ransomware in termini di propria rete: endpoint, server, backup, formazione dei dipendenti. Molte meno pensano al rischio introdotto da fornitori e consulenti che chiamano dopo che un attacco è già iniziato. Ma un negoziatore, come un investigatore forense o un consulente per la gestione delle violazioni, ha spesso accesso ad alcune delle informazioni più sensibili che un'azienda possiede durante una crisi: l'importo del riscatto che la vittima è disposta a pagare, quali dati sono stati effettivamente rubati e quanto sia disperata l'organizzazione per evitare la divulgazione pubblica.

Quando quell'accesso viene abusato, il danno si aggrava. Le vittime non perdono solo denaro per il riscatto in sé, perdono qualsiasi leva negoziale avevano, perché la banda conosce già i loro limiti prima ancora che le trattative inizino. Questo caso ricorda che la catena di fornitura della risposta agli incidenti merita lo stesso controllo di qualsiasi altro rapporto con i fornitori, e che la fiducia in una crisi non dovrebbe mai essere data per scontata solo perché qualcuno ha il titolo professionale giusto.

Come Valutare i Responder e i Negoziatori Prima che una Crisi Colpisca

Il momento migliore per valutare un negoziatore di ransomware o un'azienda di risposta agli incidenti è prima che un attacco avvenga, non durante, quando la pressione del tempo rende una due diligence accurata quasi impossibile. Le organizzazioni possono adottare diverse misure concrete:

  • Verificare il curriculum dell'azienda e richiedere referenze da clienti passati che hanno subito incidenti simili.
  • Chiedere come l'azienda valuta il proprio personale, inclusi i controlli dei precedenti e i controlli interni su chi può accedere ai dettagli delle trattative.
  • Insistere su registri di comunicazione documentati e verificabili durante qualsiasi negoziazione, invece di affidarsi esclusivamente a un singolo punto di contatto.
  • Coinvolgere un consulente legale esterno o un secondo consulente di sicurezza per verificare in modo indipendente le decisioni principali, come gli importi del riscatto o le tempistiche di pagamento.
  • Costruire in anticipo queste relazioni e contratti con i fornitori, come parte di un contratto di assistenza per la risposta agli incidenti, invece di affannarsi a cercare aiuto a violazione in corso.

Cosa Significa Questo Per Te

Se la tua organizzazione ha un piano di risposta al ransomware, questo caso è un buon motivo per riconsiderare chi fa effettivamente parte di quel piano e quanto bene lo conosci. Una minaccia interna da parte di un negoziatore di ransomware è rara, ma le conseguenze sono abbastanza gravi da rendere utile una modesta quantità di verifica preliminare. La stessa logica si applica a qualsiasi terza parte con accesso privilegiato durante una violazione: investigatori forensi, consulenti legali e agenzie di pubbliche relazioni meritano tutti lo stesso controllo che applicheresti a un nuovo fornitore di software.

Punti Chiave

  • Valutare le aziende di risposta agli incidenti e negoziazione prima di una crisi, inclusi i controlli dei precedenti e le referenze del personale.
  • Richiedere registri documentati e verificabili di tutte le trattative di riscatto invece di affidarsi a un singolo individuo di fiducia.
  • Trattare i responder di terze parti come parte della tua superficie di attacco, non solo della tua difesa.
  • Rimanere informati su come i gruppi di ransomware ed estorsione sfruttano la fiducia in ogni fase di una violazione, dall'accesso iniziale alla negoziazione finale.