Il negoziatore di ransomware Martino condannato a 70 mesi per legami con BlackCat

Un negoziatore di fiducia lavorava per gli aggressori

Quando un'azienda viene colpita da un ransomware, una delle prime chiamate è spesso rivolta a un negoziatore professionista, assunto per ridurre la richiesta di riscatto, guadagnare tempo e fare da cuscinetto tra dirigenti in preda al panico e criminali informatici. Quel sistema si basa interamente sulla fiducia. Una recente condanna federale mostra cosa succede quando quella fiducia viene tradita dall'interno.

Un negoziatore di ransomware è stato condannato a 70 mesi di carcere federale dopo che i pubblici ministeri hanno scoperto che aveva segretamente cospirato con il gruppo ransomware BlackCat (noto anche come ALPHV) mentre dichiarava di rappresentare le vittime. Invece di proteggere le aziende che lo assumevano, avrebbe passato agli aggressori dettagli sensibili, comprese informazioni sulle coperture assicurative e sui limiti di pagamento dei clienti, dando ai criminali la leva per chiedere più denaro ed esercitare pressioni in modo più efficace. Come parte della condanna, gli vengono anche confiscate le criptovalute legate al piano.

Il caso ha identificato almeno cinque organizzazioni vittime, tra cui un'azienda di dispositivi medici in Florida che era stata inizialmente colpita da una richiesta di riscatto di 10 milioni di dollari prima di pagare alla fine circa 1,2 milioni, un'azienda farmaceutica nel Maryland e uno studio medico. L'intera portata del piano si sarebbe anche intersecata con lotte intestine tra bande rivali di ransomware, con un gruppo che minacciava di esporre le operazioni dell'altro, a ricordare che nemmeno gli ecosistemi criminali sono immuni da conflitti interni e tradimenti.

Come lo schema ha danneggiato le vittime

I negoziatori di ransomware occupano una posizione particolarmente delicata. Per svolgere il proprio lavoro, di norma devono accedere a informazioni che la maggior parte delle aziende non consegnerebbe mai a un estraneo: quanta liquidità è disponibile, cosa copre effettivamente la polizza cyber, le scadenze interne e quanto sia disperata la dirigenza nel risolvere la situazione in silenzio. Quelle informazioni dovrebbero rimanere riservate ed essere utilizzate solo per proteggere gli interessi del cliente durante la negoziazione.

Quando invece un negoziatore passa quelle informazioni agli aggressori, l'intero processo di risposta agli incidenti è compromesso ancora prima di iniziare. Le vittime credono di negoziare da una posizione di strategia informata, mentre in realtà l'altra parte conosce già il loro tetto finanziario. Questo squilibrio spiega probabilmente perché le richieste in questi casi siano aumentate in modo così aggressivo, e perché la richiesta iniziale per l'azienda di dispositivi medici fosse otto volte superiore a quanto poi effettivamente pagato.

Non si tratta di un episodio isolato. Come abbiamo riportato nel nostro articolo su un negoziatore di ransomware della Florida condannato in un altro caso di estorsione negli Stati Uniti, le forze dell'ordine hanno ora identificato più negoziatori legati alla stessa rete di estorsione collegata a BlackCat. Lo schema suggerisce che non si sia trattato di un tradimento occasionale, ma di uno sforzo deliberato e almeno in parte organizzato per sfruttare dall'interno il settore della risposta agli incidenti.

Implicazioni sulla privacy per le vittime di violazioni

Le ricadute sulla privacy vanno ben oltre gli importi dei riscatti. Le aziende di dispositivi medici, le case farmaceutiche e gli studi medici custodiscono abitualmente dati sensibili di pazienti e informazioni sanitarie. Quando un negoziatore opera segretamente contro gli interessi della vittima, sorgono domande concrete su quali altre informazioni sensibili possano essere state esposte, gestite male o utilizzate come ulteriore leva durante il processo di estorsione. Le aziende che operano nel settore sanitario e in altri comparti regolamentati sono già obbligate a proteggere i dati dei pazienti nel rispetto di rigorosi obblighi sulla privacy, e un tradimento interno durante un incidente ransomware complica ogni decisione successiva, compresa la scelta se e come avvisare gli interessati.

Mette inoltre in luce un punto cieco che molte organizzazioni non prendono in considerazione finché non è troppo tardi: i fornitori di servizi di risposta agli incidenti, inclusi negoziatori, società di analisi forense e persino i consulenti legali coinvolti durante una violazione, raramente vengono valutati con lo stesso rigore applicato ad altri rischi di terze parti. Un'azienda può svolgere una due diligence approfondita su un provider cloud o su un fornitore di software, per poi ingaggiare un negoziatore in piena crisi basandosi principalmente sulla reputazione o sull'urgenza del momento.

Cosa significa per te

Se la tua organizzazione dovesse mai aver bisogno di assumere un negoziatore di ransomware o una società di risposta agli incidenti, questo caso è un motivo per rallentare, non per farsi prendere dal panico. Verifica le credenziali in modo indipendente, anziché affidarti esclusivamente ai riferimenti del tuo assicuratore o a un unico punto di contatto. Fai domande dirette su come vengono gestite, conservate e condivise le informazioni sui clienti, e pretendi limiti documentati su ciò che il negoziatore può o non può rivelare. Se la tua polizza cyber impone un elenco specifico di fornitori, esaminalo in modo proattivo, prima che si verifichi un attacco, invece di cercare rimedi freneticamente durante un incidente attivo, quando la capacità di agire e la lucidità sono entrambe compromesse.

Per i singoli individui, il concetto è più semplice ma comunque importante: se ricevi una notifica che un operatore sanitario, una farmacia o un'azienda di dispositivi medici con cui hai interagito ha subito un incidente ransomware, prendi sul serio la comunicazione anche se l'azienda afferma che l'esposizione dei dati è stata limitata. Casi come questo dimostrano che la gestione interna di una violazione può essere molto più caotica di quanto suggeriscano le dichiarazioni pubbliche.

Conclusioni

Questa condanna è un raro esempio concreto di come il ruolo del negoziatore di ransomware, costruito interamente sulla riservatezza e sulla fiducia, possa essere trasformato in un'arma contro le stesse organizzazioni che è destinato a proteggere. Valuta i tuoi fornitori di risposta agli incidenti prima che scoppi una crisi, inserisci chiari limiti alla condivisione delle informazioni in ogni contratto e ricorda che la forza del negoziatore di ransomware dipende dal fatto che la segretezza rimanga tale dalla tua parte, non da quella degli aggressori.