La notizia che un negoziatore ransomware arrestato con accuse di estorsione è co-fondatore di un'azienda che le vittime assumono per assistenza ha scosso un settore costruito sulla fiducia. Edward Dubrovsky, co-fondatore di CYPFER, un'azienda che negozia con gli operatori ransomware, è stato arrestato l'8 ottobre in Pennsylvania. I resoconti della stampa collegano il caso al gruppo ShinyHunters, ma l'FBI non ha confermato tale collegamento.

Questo articolo si attiene a quanto è stato riportato, segnala ciò che è ancora sconosciuto e spiega perché la vicenda è importante per organizzazioni e individui che un giorno potrebbero trovarsi ad affrontare una richiesta di estorsione.

Cosa sappiamo dell'arresto di Dubrovsky

I fatti confermati sono limitati. Dubrovsky è co-fondatore di CYPFER, un'azienda il cui lavoro consiste nel negoziare con gli operatori ransomware per conto delle vittime. È stato arrestato l'8 ottobre in Pennsylvania e le accuse sono legate all'estorsione.

Oltre a ciò, il pubblic dominio è scarno. Il resoconto della fonte non dettaglia le accuse specifiche, la cronologia di eventuali condotte illecite o se alcuni clienti di CYPFER siano stati coinvolti. Un arresto non è una condanna, e Dubrovsky ha diritto alla presunzione di innocenza. I lettori dovrebbero diffidare di qualsiasi resoconto che colmi tali lacune con certezza.

Cosa dimostra e cosa non dimostra il collegamento con ShinyHunters

Alcune coperture giornalistiche collegano il caso a ShinyHunters, un gruppo noto per campagne di estorsione. L'FBI non lo ha confermato. Tale distinzione è importante.

Un collegamento mediatico può significare diverse cose: un giornalista ha visto documenti giudiziari, una fonte ha descritto l'indagine, oppure osservatori stanno traendo inferenze dalla tempistica. Nessuno di questi equivale a una dichiarazione ufficiale degli investigatori. Finché i documenti di incriminazione o una dichiarazione di un'agenzia non espliciteranno il collegamento, esso dovrebbe essere trattato come un'associazione riportata, non come un fatto accertato.

Vale anche la pena ricordare che i gruppi di estorsione stessi sono narratori inaffidabili. Le loro affermazioni sono spesso concepite per fare pressione sulle vittime, come mostrato nella nostra analisi di come le rivendicazioni sulla violazione di Carhartt sono state dimezzate dopo la revisione di Troy Hunt. Lo scetticismo si applica a ogni parte in una storia come questa, comprese le fonti anonime.

Come funzionano le aziende di negoziazione ransomware e dove risiedono i rischi

Quando un'azienda viene colpita da ransomware, spesso chiama un'azienda di risposta agli incidenti. Alcune di queste aziende sono specializzate nel comunicare con gli aggressori: confermare quali dati sono stati sottratti, guadagnare tempo e talvolta negoziare un pagamento. Le vittime typically affidano a queste aziende un accesso profondo a dettagli sensibili, inclusa la portata della compromissione, i limiti finanziari dell'organizzazione e l'urgenza con cui necessita il ripristino dei sistemi.

Tale accesso è esattamente ciò che crea il rischio. Un negoziatore si trova tra una vittima disperata e un criminale, e la vittima di solito non può verificare ciò che viene detto in quelle conversazioni. Il settore è anche scarsamente regolamentato, quindi i clienti dipendono fortemente dalla reputazione e dall'etica di un'azienda.

Non è la prima volta che il settore finisce sotto esame. Recentemente abbiamo trattato come il fondatore di Monster Cloud Zohar Pinhasi sia stato arrestato per rivendicazioni di riscatto, il che ha anch'esso messo sotto i riflettori un angolo scomodo della risposta agli incidenti. Due casi non dimostrano una tendenza, ma invitano a porre domande più attente sulla supervisione.

Cosa segnala l'arresto per le vittime e l'applicazione della legge

Per l'applicazione della legge, l'arresto di un co-fondatore di un'azienda di negoziazione suggerisce che gli investigatori sono disposti a guardare agli intermediari attorno al ransomware, non solo ai gruppi criminali stessi. I dettagli di questo caso devono ancora emergere, quindi è troppo presto per dire fino a che punto si estenda tale approccio.

Per le vittime, il caso è un promemoria che assumere un negoziatore è una decisione che merita la dovuta diligenza, non un acquisto dettato dal panico.

Cosa significa questo per te

Se gestisci o consigli un'organizzazione, questa storia non è un motivo per evitare l'aiuto professionale durante un attacco. I responder esperti possono essere preziosi. È un motivo per vagliare attentamente tale aiuto.

Se sei un individuo, l'impatto pratico è indiretto. Molte violazioni che espongono dati personali terminano in estorsione, e le persone che gestiscono tali negoziazioni influenzano il modo in cui i tuoi dati vengono trattati. Tratta le affermazioni degli aggressori, e i collegamenti stampa non verificati, con cautela fino a conferma.

Punti chiave actionable

  • Vaglia i tuoi partner di risposta agli incidenti in anticipo. Chiedi informazioni sui controlli del background, sulle politiche sui conflitti di interesse e su come vengono documentate le comunicazioni di negoziazione.
  • Mantieni registri e supervisione. Assicurati che la dirigenza e il consulente legale possano vedere le trascrizioni e le decisioni della negoziazione.
  • Coinvolgi le forze dell'ordine presto. Segnala gli incidenti alle autorità competenti piuttosto che fare affidamento esclusivamente su intermediari privati.
  • Separa l'accusa dal fatto. Il collegamento con ShinyHunters non è confermato. Attendi la conferma ufficiale prima di trarre conclusioni.
  • Leggi il quadro più ampio. L'arresto di Monster Cloud si inserisce in un modello di scrutinio sui negoziatori, e il pezzo su Carhartt sopra mostra perché le affermazioni dei gruppi di estorsione dovrebbero essere lette criticamente.

La storia di un negoziatore ransomware arrestato con accuse di estorsione è ancora in evoluzione. Verifica gli aggiornamenti ufficiali prima di formarti un'opinione, e usa questo momento per rivedere di chi ti fideresti in una crisi.