Een ransomware-onderhandelaar hoort degene in de kamer te zijn die voor het slachtoffer vecht. Dat vertrouwen werd geschonden in de zaak tegen Angelo Martino, een voormalig onderhandelaar bij incident response-bedrijf DigitalMint, die tot 70 maanden federale gevangenisstraf is veroordeeld omdat hij in het geheim vertrouwelijke klantinformatie doorspeelde aan de BlackCat-ransomwarebende, juist de aanvallers tegen wie hij was ingehuurd om te onderhandelen.

De veroordeling sluit een van de meest verontrustende hoofdstukken uit de recente ransomwaregeschiedenis af: een zaak waarin de vermeende verdediger aan beide kanten van de onderhandelingstafel opereerde.

Een vertrouwde insider wordt verrader

Wanneer een bedrijf getroffen wordt door ransomware, is het inhuren van een professionele onderhandelaar vaak een van de eerste stappen, naast rechtshandhaving en juridisch advies. Deze specialisten worden juist ingeschakeld omdat slachtoffers in paniek zijn, technisch overweldigd en wanhopig om verdere schade te voorkomen. Een goede onderhandelaar hoort tijd te winnen, opgeblazen eisen terug te dringen en uiteindelijk het losgeld te verlagen tot iets wat het slachtoffer kan overleven om te betalen, áls er al betaald wordt.

Martino’s rol bij DigitalMint plaatste hem precies in die vertrouwensrelatie. Volgens de onderliggende berichtgeving gebruikte hij zijn toegang tot klantgegevens, waaronder informatie over de druk waaronder slachtoffers stonden en wat ze mogelijk bereid waren te betalen, om de beheerders van BlackCat te helpen grotere bedragen binnen te halen in plaats van kleinere. In feite draaide hij de taak van de onderhandelaar volledig om en werkte hij eraan de schade te maximaliseren voor de klanten die hem juist ter bescherming hadden ingehuurd.

Zoals vpn.social eerder berichtte, berustte deze constructie volledig op de aanname dat de loyaliteit van een onderhandelaar maar één kant op gaat. Martino’s handelen doorbrak die aanname op een manier die de incident response-sector flink heeft opgeschud.

Hoe het dubbelagentschap werkte

De werking van het plan was eenvoudig maar schadelijk. Door vertrouwelijke details, verzekeringsinformatie, onderhandelingsstrategie of wat een slachtofferorganisatie realistisch gezien kon betalen door te spelen, gaf Martino de BlackCat-aanvallers een oneerlijk voordeel bij elke onderhandeling die hij aanraakte. In plaats van dat losgeldeisen kleiner werden door zijn vermeende belangenbehartiging, werden ze stilletjes opgevoerd.

Dit was ook geen incident op zich. Gerelateerde berichtgeving over deze zaak, waaronder verslaggeving over het bredere BlackCat-onderhandelingsschema, vermeldt dat Martino niet de enige onderhandelaar was die betrokken was bij dit soort gedrag in verband met dezelfde ransomware-operatie. Een aparte zaak rond een in Florida gevestigde onderhandelaar die veroordeeld is in een gerelateerd afpersingsschema onderstreept dat dit geen eenmalige inschattingsfout van een enkele kwaadwillende was, maar een patroon dat misbruik maakte van het structurele vertrouwen dat in de incident response-sector is ingebakken.

De straf van 70 maanden weerspiegelt de ernst waarmee federale aanklagers het verraad behandelden: dit was geen simpele nalatigheid of een beveiligingsfout, maar een insider die doelbewust handelde tegen de mensen die hun vertrouwen – en hun gevoelige gegevens – in zijn handen hadden gelegd.

Wat dit voor jou betekent

Voor de meeste mensen lijkt deze zaak misschien ver weg van het dagelijks leven, maar hij raakt aan iets waar iedereen om zou moeten geven: hoeveel vertrouwen we stellen in de tussenpersonen die onze meest gevoelige informatie beheren tijdens een crisis. Ransomware-onderhandelaars bevinden zich in een uniek bevoorrechte positie. Zij zien interne financiële details, beveiligingslekken en communicatie die een slachtofferorganisatie nooit openbaar zou willen maken.

Wanneer dat vertrouwen wordt misbruikt, reiken de gevolgen verder dan de direct getroffen bedrijven. Werknemers, klanten en iedereen wiens persoonsgegevens in die gecompromitteerde systemen stonden, kan tweemaal de prijs betalen: één keer via de oorspronkelijke ransomware-aanval, en nog een keer via een onderhandelingsproces dat stiekem tegen hen werkte.

Deze zaak herinnert eraan dat privacy en veiligheid bij een ransomware-incident niet ophouden zodra er een specialist is ingehuurd. Toezicht, verificatie en onafhankelijke beoordeling van het gedrag van de onderhandelaar zijn net zo belangrijk als de eerste respons op een aanval zelf.

Concrete aandachtspunten

Mocht jouw organisatie ooit moeten onderhandelen met ransomware-beheerders, of wil je gewoon begrijpen hoe zulke incidenten verlopen, dan zijn er uit de zaak-Martino een paar lessen te trekken:

  • Screen incident response-leveranciers zorgvuldig en vraag hoe zij hun eigen medewerkers controleren op belangenconflicten tijdens lopende onderhandelingen.
  • Vraag om transparantie over wie toegang heeft tot gevoelige onderhandelingsdetails, inclusief financiële limieten en verzekeringsinformatie.
  • Overweeg onafhankelijk toezicht of een tweede aanspreekpunt wanneer er grote losgeldeisen in het spel zijn, in plaats van uitsluitend te vertrouwen op het verslag van één onderhandelaar over het proces.
  • Blijf op de hoogte van hoe ransomware-onderhandeling werkelijk werkt, want inzicht in de spelende belangen helpt organisaties om betere vragen te stellen vóór – en niet pas na – een aanval.

De veroordeling van een ransomware-onderhandelaar voor het verraden van zijn eigen klanten is een extreem geval, maar benadrukt een eenvoudige waarheid: vertrouwen in een crisis moet worden verdiend en geverifieerd, niet verondersteld.