Un insider di fiducia diventato complice

Quando un'azienda cade vittima di un ransomware, spesso si rivolge a un negoziatore specializzato per gestire la delicata e rischiosa trattativa con gli aggressori. Proprio questo era il ruolo di Angelo Martino, 41 anni, in DigitalMint, un'azienda che aiuta le organizzazioni a fronteggiare gli incidenti ransomware e a negoziare i pagamenti per loro conto. Martino veniva coinvolto durante le violazioni in corso, seduto dalla parte del tavolo che avrebbe dovuto proteggere le vittime.

Invece, secondo i documenti del tribunale, Martino lavorava segretamente con gli affiliati del gruppo ransomware BlackCat (noto anche come ALPHV), una delle operazioni di estorsione più famigerate degli ultimi anni. Piuttosto che difendere gli interessi dei propri clienti, avrebbe passato agli aggressori informazioni riservate dall'interno delle trattative che avrebbe dovuto condurre per conto delle vittime. Queste informazioni privilegiate avrebbero aiutato la banda a ottenere pagamenti più elevati, e i rapporti indicano che il sistema ha contribuito a far estorcere circa 75 milioni di dollari alle organizzazioni vittime in molteplici casi. Martino si è dichiarato colpevole ed è stato condannato a 70 mesi di carcere federale.

Come il sistema ha minato la negoziazione ransomware

La negoziazione ransomware esiste perché le aziende colpite spesso non hanno le competenze specialistiche per comunicare con i gruppi criminali, valutare la credibilità delle minacce o determinare se pagare un riscatto sia anche solo consigliabile. Aziende come DigitalMint dovrebbero fungere da firewall, usando la loro esperienza per ridurre le richieste, verificare le capacità di recupero dati e impedire che le vittime vengano sfruttate due volte.

Il caso di Martino capovolge completamente questo modello. Trapelando dettagli sensibili dalle trattative in corso, incluse informazioni interne sui clienti, soglie finanziarie e lo stato del potere contrattuale della vittima, ha di fatto consegnato agli affiliati di BlackCat il manuale necessario per spingere al massimo i pagamenti. Si tratta di una violazione profonda della fiducia, non solo tra Martino e il suo datore di lavoro, ma tra il suo datore di lavoro e ogni cliente che presumeva che il proprio team di risposta alla crisi lavorasse esclusivamente per loro.

Questo tipo di collusione interna è particolarmente dannoso perché le vittime di ransomware si trovano già in una posizione vulnerabile. Spesso sono sotto pressione per prendere decisioni rapide su dati sensibili, tempi di inattività operativa ed esposizione normativa. Casi come il riscatto pagato da Instructure dopo la violazione di Canvas mostrano come a volte le organizzazioni concludano che il pagamento sia l'opzione meno dannosa disponibile. Quando il negoziatore che gestisce quella decisione ha un incentivo economico a lavorare contro la vittima, l'intero calcolo usato per giustificare un pagamento viene compromesso.

Perché questo caso solleva maggiori preoccupazioni sulla privacy per le aziende

Le implicazioni per la privacy vanno ben oltre le perdite finanziarie immediate. Le trattative per i ransomware comportano in genere la condivisione di materiale altamente sensibile: la portata dei dati rubati, valutazioni interne della sicurezza, comunicazioni dirigenziali e dettagli su quanto un'azienda è disposta a pagare. Le vittime condividono queste informazioni partendo dal presupposto che rimangano all'interno di una cerchia ristretta e controllata di operatori fidati.

Le azioni di Martino dimostrano che l'ecosistema stesso della risposta agli incidenti può diventare un punto di cedimento. Anche le organizzazioni che fanno tutto correttamente dopo una violazione, assumendo aziende affidabili, seguendo i protocolli raccomandati e collaborando con le forze dell'ordine, possono comunque vedere i propri dati e la propria posizione negoziale minati dall'interno. Questo rispecchia le tattiche di pressione viste in altre campagne di estorsione di alto profilo, come le tattiche in escalation usate quando ShinyHunters ha deturpato i portali scolastici durante la campagna di riscatto Canvas, in cui gli aggressori hanno fatto leva sull'imbarazzo pubblico e sui dati per forzare una risoluzione.

Cosa significa per te

Se la tua organizzazione dovesse mai trovarsi a negoziare con un gruppo ransomware, questo caso ricorda che il processo di selezione dei fornitori merita lo stesso livello di attenzione dei tuoi strumenti di sicurezza informatica. Chiedi alle potenziali aziende di negoziazione informazioni sui controlli interni, sulla verifica dei dipendenti e su come i dati dei clienti vengono segmentati e monitorati durante un caso attivo. Richiedi chiarezza su chi ha accesso ai dettagli della trattativa e se qualcuno ha un'autorità incontrollata sulle comunicazioni con gli aggressori.

Per i singoli e le piccole imprese che non hanno risorse per una due diligence approfondita sui fornitori, il messaggio è più ampio: riduci al minimo i dati sensibili che potrebbero essere esposti in primo luogo. Solide pratiche di backup, segmentazione della rete e limitazione della quantità di dati personali o finanziari conservati in sistemi facilmente accessibili riducono il potere di ricatto che un gruppo ransomware, o un insider compromesso, può esercitare su di te.

Punti chiave

  • Esamina le aziende di risposta agli incidenti e di negoziazione con lo stesso rigore che applicheresti a qualsiasi fornitore che gestisce dati sensibili.
  • Chiedi come le aziende di negoziazione monitorano e verificano internamente l'accesso dei dipendenti durante i casi di ransomware attivi.
  • Riduci il volume di dati sensibili archiviati in sistemi vulnerabili alla compromissione, poiché una minore esposizione significa meno potere di ricatto per aggressori o insider.
  • Tratta la negoziazione ransomware come una decisione che richiede una propria supervisione, non come una scatola nera gestita interamente da terzi.

Il caso Martino è un esempio raro ma grave di tradimento interno all'interno del settore della risposta ai ransomware. Non significa che non ci si possa fidare in generale delle aziende di negoziazione, ma sottolinea che la fiducia deve essere verificata, non data per scontata, soprattutto quando sono in gioco i dettagli più sensibili di una violazione aziendale.