Un insider fidato si è rivoltato contro i suoi stessi clienti
Quando un’azienda subisce un attacco ransomware, di solito chiama un negoziatore, una persona il cui compito è comunicare con gli aggressori, valutare la situazione e cercare di ridurre i danni. Quel rapporto dipende interamente dalla fiducia. Un ex negoziatore della società di incident response DigitalMint ha appena mostrato cosa succede quando quella fiducia viene tradita.
Angelo Martino, 41 anni, è stato condannato a 70 mesi di carcere federale per aver cospirato con il gruppo ransomware BlackCat (noto anche come ALPHV) mentre lavorava come negoziatore che avrebbe dovuto rappresentare gli interessi delle vittime. Invece di difendere esclusivamente i propri clienti, Martino avrebbe usato la sua posizione per passare informazioni agli stessi criminali che i suoi clienti cercavano di tenere a bada, secondo quanto riportato da Help Net Security. Il caso, approfondito nella nostra precedente copertura sulla condanna a 70 mesi del negoziatore di DigitalMint, mette in luce una minaccia che la maggior parte delle vittime di ransomware non prende mai in considerazione: la persona assoldata per proteggerle.
Perché i negoziatori di ransomware detengono così tanti dati sensibili
I negoziatori di ransomware occupano una posizione straordinariamente privilegiata. Per svolgere efficacemente il proprio lavoro, di solito hanno bisogno di accedere a dettagli che la maggior parte dei dipendenti dell’organizzazione vittima non vede mai: la portata della violazione, quali dati sono stati rubati, quanta copertura assicurativa cyber ha l’azienda e quanto l’azienda è realisticamente disposta o in grado di pagare. Queste informazioni sono oro per un aggressore. Conoscere i limiti assicurativi di una vittima, per esempio, permette a un gruppo ransomware di calibrare la richiesta di riscatto per spremere il massimo pagamento possibile.
È proprio questo che rende il caso Martino notevole dal punto di vista della privacy. Non si è trattato di un hacker esterno penetrato nei sistemi di un’azienda. Si è trattato di un insider, qualcuno chiamato proprio per via dell’accesso sensibile richiesto dal suo ruolo, che avrebbe usato quell’accesso contro le persone che lo avevano ingaggiato. Le società di incident response e negoziazione esistono perché la maggior parte delle organizzazioni non possiede le competenze specialistiche per gestire internamente una crisi ransomware. Fare affidamento su esperti esterni è ragionevole e spesso necessario, ma significa anche che le vittime stanno estendendo la fiducia a una terza parte con una capacità minima di verificare in modo indipendente che tale fiducia sia giustificata.
Il più ampio ecosistema del ransomware costringe già le vittime a scendere a difficili compromessi in materia di privacy. Pagare un riscatto non garantisce che i dati rubati vengano cancellati, e negoziare in buona fede presuppone che l’altra parte – e chiunque ti stia consigliando – agiscano anch’essi in buona fede. Un caso come questo mina quell’assunto, in un modo che potrebbe rendere le vittime più riluttanti a comunicare tutte le informazioni proprio ai professionisti che dovrebbero aiutarle, rallentando potenzialmente l’incident response nel momento in cui conta di più.
Cosa significa per te
La maggior parte dei lettori non assumerà mai personalmente un negoziatore di ransomware, ma la lezione di fondo si applica in senso ampio: i fornitori terzi che hanno accesso ai tuoi dati sensibili sono affidabili solo quanto l’anello più debole all’interno dell’organizzazione del fornitore. Che si tratti di uno studio legale, di un appaltatore di incident response, di un fornitore cloud o di qualsiasi azienda che gestisce le tue informazioni personali o finanziarie, la sicurezza di quel rapporto dipende da controlli interni che tu non puoi vedere dall’esterno.
Per le aziende, questo caso è un promemoria per porre domande scomode prima e durante un incidente ransomware. Chi all’interno della società di negoziazione ha accesso ai dettagli assicurativi e all’autorità di pagamento? Esistono controlli interni che impediscono a un singolo dipendente di comunicare direttamente con i criminali informatici senza supervisione? Le conversazioni vengono registrate e revisionate? Non sono domande che la maggior parte delle aziende pensa di porre nel bel mezzo di una crisi, ma dovrebbero far parte della due diligence prima che una violazione si verifichi, non dopo.
Per i singoli individui, l’insegnamento è più indiretto ma comunque rilevante. Quando un’azienda con cui fai affari subisce un attacco ransomware, la gestione di quell’incidente – compreso chi ha accesso ai tuoi dati compromessi durante le negoziazioni – sfugge in larga parte al tuo controllo. È un motivo in più per ridurre al minimo la quantità di dati personali sensibili che condividi con una singola organizzazione fin dall’inizio, e per utilizzare strumenti come i gestori di password e l’autenticazione a più fattori, così che una singola violazione non possa propagarsi fino a compromettere altri account.
Consigli per anticipare il rischio insider
Questa condanna manda un segnale chiaro: il tradimento di un insider durante la risposta a un ransomware comporta serie conseguenze legali, ma la prevenzione conta più della punizione dopo il fatto. Se la tua organizzazione lavora con società di incident response o negoziazione, pretendi controlli di accesso documentati, una supervisione indipendente delle negoziazioni e una chiara responsabilità contrattuale. Se sei un individuo coinvolto da una violazione in un’azienda di cui ti fidi, prendi sul serio le notifiche, cambia le password riutilizzate e monitora gli account collegati a quell’organizzazione.
Probabilmente il caso Martino verrà citato per anni come esempio ammonitore nel campo della negoziazione ransomware. Per tutti gli altri, è un utile promemoria del fatto che la fiducia in una crisi va guadagnata e verificata, non data per scontata.
