L'arresto di un noto negoziatore ransomware, riportato da Dark Reading, ha sollevato una domanda scomoda per qualsiasi organizzazione che abbia mai dovuto pianificare una violazione: cosa succede quando la persona che assumi per trattare con gli aggressori lavora per l'altra parte? Il caso è un monito puntuale sul fatto che la verifica della minaccia interna dei negoziatori ransomware debba rientrare in ogni piano di risposta agli incidenti, non solo nei controlli tecnici che lo circondano.
L'articolo di origine inquadra la lezione come la necessità di una maggiore supervisione dei programmi dei fornitori. Questo post esamina come funziona la negoziazione, cosa rivela l'arresto e cosa possono fare le piccole imprese e gli utenti attenti alla privacy.
Come funzionano realmente l'estorsione ransomware e la negoziazione
Quando un'azienda viene colpita da ransomware, una delle prime chiamate è spesso a un negoziatore professionista. Il suo compito è comunicare con gli aggressori, valutare la situazione e cercare di ridurre i danni. Agisce da cuscinetto tra vittime in preda al panico e criminali che potrebbero richiedere un pagamento per ripristinare i sistemi o per mantenere riservati i dati rubati.
Questo accordo funziona solo se la vittima si fida completamente dell'intermediario. Il negoziatore vede la richiesta di riscatto, apprende quali dati sono stati sottratti e spesso comprende quanto la vittima può permettersi di pagare e con quanta urgenza ha bisogno di riavere i sistemi. Le vittime di solito hanno scarse possibilità di verificare autonomamente tutto ciò. Sono in crisi, a corto di tempo e si affidano all'esperienza del negoziatore.
Anche gestire l'estorsione sta diventando più difficile. Un sondaggio globale riportato da The Register ha rilevato che il 37% degli attacchi ransomware ora include minacce personali, siano esse psicologiche o fisiche. Con l'aumentare della pressione sulle vittime, cresce anche la loro dipendenza dalle persone che le guidano.
Cosa rivela l'arresto del negoziatore sul rischio interno
La maggior parte della pianificazione della sicurezza si concentra sugli aggressori esterni e, in misura minore, sui dipendenti. I fornitori terzi sono spesso considerati affidabili per impostazione predefinita, specialmente gli specialisti chiamati in emergenza. L'arresto mostra la debolezza di questo presupposto. Un intermediario con accesso a negoziazioni sensibili detiene una posizione di enorme potere contrattuale, e se i suoi interessi divergono da quelli del cliente, il cliente potrebbe non venirne mai a conoscenza.
Questa non è una preoccupazione puramente ipotetica. La copertura correlata su vpn.social dettaglia come un ex negoziatore di DigitalMint abbia ricevuto 70 mesi per un accordo BlackCat, e un altro report tratta di come il negoziatore Martino sia stato condannato a 70 mesi per legami con BlackCat. Quei pezzi coprono i dettagli concreti del caso e sottolineano il punto più ampio: il rapporto con il negoziatore dipende da una fiducia che raramente viene verificata.
La conclusione del reportage di Dark Reading non è che tutti i negoziatori siano sospetti. È che un fornitore con un accesso di questo livello merita lo stesso scrutinio di qualsiasi altro insider ad alto rischio.
A cosa sono esposti le vittime e i loro dati quando un fornitore viene compromesso
Se un negoziatore o un altro fornitore di risposta viene compromesso, o agisce contro il cliente, l'esposizione può estendersi ben oltre il riscatto stesso. In base al ruolo che un negoziatore ricopre, le aree di preoccupazione includono:
- Strategia di negoziazione: il budget della vittima, le scadenze e la disponibilità a pagare sono tutti visibili all'intermediario.
- Dettagli dei dati rubati: i negoziatori di solito apprendono cosa è stato sottratto, il che è rilevante per chiunque avesse informazioni personali in quei file.
- Processo decisionale: i consigli su se pagare, ritardare o resistere plasmano l'esito per l'azienda e per le persone coinvolte.
- Comunicazioni: ogni messaggio verso e dagli aggressori passa attraverso il negoziatore.
Per gli individui, il rischio è indiretto ma reale. Clienti, pazienti e dipendenti i cui dati si trovano all'interno di un'organizzazione violata non hanno voce in capitolo su quale fornitore venga scelto, eppure ne subiscono le conseguenze se quella scelta va storta.
Come verificare i fornitori di risposta alle violazioni prima di averne bisogno
Il momento migliore per valutare un negoziatore o un'azienda di risposta agli incidenti è prima di un attacco, quando puoi porre domande con calma. L'articolo di origine invoca una maggiore supervisione del programma dei fornitori, e questi passaggi sono un modo pratico di applicare tale idea. Sono buone pratiche generali piuttosto che requisiti tratti dal caso.
- Scegli i tuoi fornitori in anticipo. Selezionare un'azienda sotto pressione non lascia spazio alla due diligence. Crea una lista ristretta verificata come parte del tuo piano di risposta agli incidenti.
- Chiedi informazioni sui controlli interni. Come verifica l'azienda il proprio personale? Chi può accedere alle negoziazioni con i clienti, e tale accesso è registrato e riesaminato?
- Metti le aspettative per iscritto. I contratti dovrebbero coprire riservatezza, conflitti di interesse e divulgazione di eventuali rapporti con attori delle minacce o altre parti.
- Mantieni un secondo paio d'occhi sulle decisioni. Assicurati che la tua dirigenza, il consulente legale o l'assicuratore riesaminino le scelte principali invece di lasciarle a una sola persona.
- Limita la condivisione dei dati. Fornisci ai fornitori solo ciò di cui hanno bisogno e conserva registrazioni di ciò che hanno ricevuto.
- Riesamina periodicamente il rapporto. Tratta i fornitori di risposta come parte del tuo programma di rischio di terze parti, con controlli periodici anziché un'approvazione una tantum.
Cosa significa per te
Se gestisci una piccola impresa, potresti non avere un team di sicurezza dedicato, il che rende la fiducia nei fornitori ancora più importante. Chiedi al tuo assicuratore cyber o al tuo fornitore IT con quali aziende di risposta lavorano e scopri come vengono supervisionate. Alcune domande poste ora costano molto meno di una cattiva decisione presa nel mezzo di una crisi.
Se sei un individuo, il passo pratico è limitare ciò che le organizzazioni detengono su di te. Condividi solo i dati di cui un servizio ha genuinamente bisogno, usa password uniche e l'autenticazione a più fattori, e tieni d'occhio le notifiche di violazione per poter agire rapidamente se le tue informazioni vengono esposte. Non puoi verificare il fornitore di risposta agli incidenti di un'azienda, ma puoi ridurre i danni se qualcosa va storto.
Punti chiave
L'arresto di un noto negoziatore ransomware è un promemoria del fatto che gli intermediari possono rappresentare un rischio interno, e che la verifica della minaccia interna dei negoziatori ransomware dovrebbe affiancarsi ai backup e alle patch nel tuo piano di preparazione. Scegli i fornitori prima di una crisi, poni domande difficili sui loro controlli e mantieni una supervisione indipendente sulle decisioni principali.
Per i dettagli concreti del caso, leggi la nostra copertura sull'ex negoziatore di DigitalMint condannato. Per capire perché la fiducia nei fornitori conti ancora di più mentre l'estorsione si intensifica, consulta il sondaggio sulle minacce personali negli attacchi ransomware.
