Wat er gebeurde: de onderhandelaar die voor beide kanten werkte

Wanneer een bedrijf wordt getroffen door ransomware, belt het vaak als eerste een onderhandelaar: een specialist die het vertrouwen krijgt om te bemiddelen tussen een paniekerig slachtoffer en een criminele bende, en die probeert de losgeldeis te verlagen of tijd te winnen voor herstel. Die relatie is volledig gebaseerd op vertrouwen. Volgens berichtgeving van Malwarebytes heeft zo’n onderhandelaar dat vertrouwen op de meest schadelijke manier geschonden. In plaats van slachtoffers te helpen zich te verzetten tegen de BlackCat-ransomwarebende, gaf hij de criminelen in het geheim informatie vanuit de onderhandelingen die hij juist namens de slachtoffers moest voeren.

Het resultaat was een ransomware-onderhandelaar-insider threat-scenario dat slachtoffers miljoenen kostte. In plaats van op te treden als firewall tussen een bedrijf en zijn aanvaller, werd de onderhandelaar feitelijk een tweede aanvaller, met bevoorrechte toegang tot de financiële limieten, juridische strategie en betalingsbereidheid van een slachtoffer. Dat is zo ongeveer het slechtst mogelijke scenario bij incidentrespons, omdat juist de waarborg waarvoor organisaties betalen, in een kwetsbaarheid verandert.

Hoe ransomware-as-a-service-bendes vertrouwde tussenpersonen rekruteren

BlackCat, ook bekend als ALPHV, opereert als een ransomware-as-a-service (RaaS)-groep, wat betekent dat het zijn malware en infrastructuur in licentie geeft aan aangesloten criminelen die aanvallen uitvoeren en de winst delen. Dit bedrijfsmodel is altijd afhankelijk geweest van het opbouwen van netwerken van mensen die willen meewerken voor een deel van de opbrengst, van initial access brokers die gestolen inloggegevens verkopen tot affiliates die de daadwerkelijke encryptie uitvoeren. Een gecompromitteerde of medeplichtige onderhandelaar is simpelweg de volgende logische uitbreiding van dat netwerk: iemand ingebed in het legitieme incidentresponsecosysteem die inlichtingen kan delen die de bende zelf nooit had kunnen verkrijgen.

Dit is precies waarom deze zaak verder reikt dan BlackCat zelf. Ransomwarebendes begrijpen steeds beter dat de zwakste schakel bij het reageren op een datalek niet altijd een firewall of een ongepatchte server is. Het kan een persoon zijn, en dan specifiek een persoon die het slachtoffer heeft uitgekozen om te vertrouwen tijdens het meest stressvolle moment van een beveiligingsincident. Hetzelfde principe van het uitbuiten van vertrouwen en toegang is zichtbaar in het hele ransomware- en data-afpersingslandschap, zoals bij incidenten als de ShinyHunters-inbreuk op de HR-systemen van de Raad van Europa, waarbij aanvallers opnieuw demonstreerden hoe effectief criminele groeperingen interne toegang kunnen benutten zodra ze een weg naar binnen vinden.

Waarom dit het aanvalsoppervlak voor inbraakslachtoffers vergroot

De meeste organisaties beschouwen het risico van ransomware vanuit hun eigen netwerk: endpoints, servers, back-ups, medewerkerstraining. Veel minder denken ze na over het risico dat de leveranciers en consultants met zich meebrengen die worden ingeschakeld nadat een aanval al is begonnen. Maar een onderhandelaar heeft, net als een forensisch onderzoeker of een breach coach, vaak toegang tot de meest gevoelige informatie die een bedrijf tijdens een crisis bezit: het losgeldbedrag dat het slachtoffer bereid is te betalen, welke data daadwerkelijk is gestolen en hoe wanhopig de organisatie is om openbaarmaking te voorkomen.

Wanneer die toegang wordt misbruikt, stapelen de schades zich op. Slachtoffers verliezen niet alleen geld aan het losgeld zelf, maar raken ook elke onderhandelingspositie kwijt, omdat de bende hun absolute minimum al weet nog voordat de onderhandelingen beginnen. Deze zaak herinnert ons eraan dat de toeleveringsketen van incidentrespons dezelfde controle verdient als elke andere leveranciersrelatie, en dat vertrouwen in een crisis nooit als vanzelfsprekend mag worden aangenomen alleen omdat iemand de juiste functietitel heeft.

Hoe u incident responders en onderhandelaars screent vóór een crisis toeslaat

Het beste moment om een ransomware-onderhandelaar of incidentresponsebureau te screenen, is vóór een aanval plaatsvindt, niet tijdens, wanneer tijdsdruk zorgvuldige due diligence bijna onmogelijk maakt. Organisaties kunnen verschillende concrete stappen nemen:

  • Controleer de staat van dienst van het bureau en vraag om referenties van eerdere klanten die soortgelijke incidenten hebben meegemaakt.
  • Vraag hoe het bureau zijn eigen personeel screent, inclusief antecedentenonderzoek en interne controles op wie toegang heeft tot onderhandelingsdetails.
  • Eis gedocumenteerde, controleerbare communicatielogboeken tijdens elke onderhandeling, in plaats van uitsluitend te vertrouwen op één aanspreekpunt.
  • Schakel onafhankelijke juridische adviseurs of een tweede beveiligingsadviseur in om belangrijke beslissingen, zoals losgeldbedragen of het tijdstip van betaling, onafhankelijk te verifiëren.
  • Bouw deze leveranciersrelaties en contracten vooraf op, als onderdeel van een incidentrespons-opdracht, in plaats van halsoverkop hulp te moeten zoeken tijdens een datalek.

Wat dit voor u betekent

Als uw organisatie een ransomware-responsplan heeft, is deze zaak een goede aanleiding om opnieuw te bekijken wie er daadwerkelijk in dat plan staat en hoe goed u ze kent. Een ransomware-onderhandelaar-insider threat is zeldzaam, maar de gevolgen zijn ernstig genoeg dat een bescheiden hoeveelheid voorafgaande screening de moeite waard is. Dezelfde logica is van toepassing op elke derde partij met bevoorrechte toegang tijdens een datalek: forensisch onderzoekers, juridische adviseurs en pr-bureaus verdienen allemaal dezelfde controle die u zou toepassen op een nieuwe softwareleverancier.

Belangrijkste conclusies

  • Screen incidentrespons- en onderhandelingsbureaus vóór een crisis, inclusief antecedentenonderzoek van personeel en referenties.
  • Eis gedocumenteerde, controleerbare logboeken van alle losgeldonderhandelingen in plaats van te vertrouwen op één vertrouwde persoon.
  • Beschouw externe responders als onderdeel van uw aanvalsoppervlak, niet alleen als onderdeel van uw verdediging.
  • Blijf op de hoogte van hoe ransomware- en afpersingsgroeperingen vertrouwen uitbuiten in elke fase van een inbraak, van initiële toegang tot de uiteindelijke onderhandeling.