Een vertrouwde insider wordt medeplichtige

Wanneer een bedrijf het slachtoffer wordt van ransomware, wendt het zich vaak tot een gespecialiseerde onderhandelaar om het delicate, risicovolle gesprek met de aanvallers te voeren. Dat is precies de rol die Angelo Martino, 41, speelde bij DigitalMint, een firma die organisaties helpt bij het navigeren van ransomware-incidenten en namens hen betalingen onderhandelt. Martino werd ingeschakeld tijdens lopende inbraakzaken, aan de kant van de tafel die bedoeld is om slachtoffers te beschermen.

In plaats daarvan, zo blijkt uit gerechtelijke documenten, werkte Martino in het geheim samen met gelieerden van de BlackCat-ransomwaregroep (ook bekend als ALPHV), een van de beruchtste afpersingsoperaties van de afgelopen jaren. In plaats van de belangen van zijn cliënten te verdedigen, zou hij de aanvallers hebben gevoed met vertrouwelijke informatie uit de onderhandelingen die hij geacht werd namens de slachtoffers te voeren. Die interne kennis hielp de bende naar verluidt om hogere betalingen af te dwingen, waarbij rapporten aangeven dat de regeling heeft bijgedragen aan ongeveer 75 miljoen dollar die van slachtofferorganisaties in meerdere zaken werd afgeperst. Martino bekende schuld en werd veroordeeld tot 70 maanden federale gevangenisstraf.

Hoe de regeling ransomware-onderhandelingen ondermijnde

Ransomware-onderhandeling bestaat omdat bedrijven die met een aanval worden geconfronteerd vaak de gespecialiseerde expertise missen om met criminele groepen te communiceren, de geloofwaardigheid van dreigementen te beoordelen of te bepalen of het betalen van losgeld überhaupt raadzaam is. Firma's als DigitalMint moeten fungeren als een firewall, waarbij ze hun ervaring gebruiken om eisen te verlagen, de mogelijkheden voor gegevensherstel te verifiëren en te voorkomen dat slachtoffers twee keer worden uitgebuit.

De zaak-Martino zet dat model volledig op zijn kop. Door gevoelige details uit lopende onderhandelingen te lekken, waaronder interne klantinformatie, financiële drempels en de onderhandelingspositie van een slachtoffer, gaf hij BlackCat-gelieerden feitelijk het draaiboek dat ze nodig hadden om maximale betalingen af te dwingen. Dat is een diepe vertrouwensbreuk, niet alleen tussen Martino en zijn werkgever, maar ook tussen zijn werkgever en elke cliënt die ervan uitging dat hun crisisresponsteam uitsluitend voor hen werkte.

Dit soort heimelijke verstandhouding is bijzonder schadelijk omdat ransomware-slachtoffers al in een kwetsbare positie verkeren. Ze staan vaak onder druk om snel beslissingen te nemen over gevoelige gegevens, operationele uitval en blootstelling aan regelgevende instanties. Zaken als Instructure's betaalde losgeld na de Canvas-inbreuk laten zien hoe organisaties soms tot de conclusie komen dat betaling de minst schadelijke optie is. Wanneer de onderhandelaar die die beslissing afhandelt een financieel belang heeft om tegen het slachtoffer te werken, wordt de volledige afweging die een betaling rechtvaardigt gecompromitteerd.

Waarom deze zaak grotere privacyzorgen voor bedrijven oproept

De implicaties voor de privacy reiken veel verder dan de directe financiële verliezen. Ransomware-onderhandelingen omvatten doorgaans het delen van zeer gevoelig materiaal: de omvang van gestolen gegevens, interne beveiligingsbeoordelingen, communicatie van het bestuur en details over wat een bedrijf bereid is te betalen. Slachtoffers delen deze informatie in de veronderstelling dat deze binnen een strikt gecontroleerde kring van vertrouwde hulpverleners blijft.

Martino's handelen toont aan dat het incidentrespons-ecosysteem zelf een zwak punt kan zijn. Zelfs organisaties die na een inbraak alles goed doen – gerenommeerde firma's inhuren, aanbevolen protocollen volgen en samenwerken met wetshandhaving – kunnen nog steeds hun gegevens en onderhandelingspositie van binnenuit ondermijnd zien worden. Dit weerspiegelt de druktactieken die te zien waren in andere spraakmakende afpersingscampagnes, zoals de escalerende tactieken die ShinyHunters gebruikten toen het schoolportalen bekladde tijdens zijn Canvas-losgeldcampagne, waarbij aanvallers leunden op publieke schaamte en gegevensmacht om een oplossing af te dwingen.

Wat dit voor u betekent

Als uw organisatie ooit in de situatie komt dat u met een ransomwaregroep moet onderhandelen, is deze zaak een herinnering dat het selectieproces van leveranciers evenveel aandacht verdient als uw cybersecurity-tools. Vraag potentiële onderhandelingsbureaus naar interne controles, het screenen van medewerkers en hoe klantgegevens worden gesegmenteerd en gemonitord tijdens een lopende zaak. Vraag om duidelijkheid over wie toegang heeft tot onderhandelingsdetails en of iemand ongecontroleerde autoriteit heeft over de communicatie met aanvallers.

Voor individuen en kleinere bedrijven zonder de middelen voor uitgebreid leveranciersonderzoek is de les breder: minimaliseer de gevoelige gegevens die in de eerste plaats blootgesteld kunnen worden. Sterke back-upprocedures, netwerksegmentatie en het beperken van de hoeveelheid persoonlijke of financiële gegevens die in gemakkelijk toegankelijke systemen worden opgeslagen, verminderen allemaal de macht die een ransomwaregroep, of een gecompromitteerde insider, over u kan hebben.

Belangrijkste punten

  • Onderzoek incidentrespons- en onderhandelingsbureaus met dezelfde grondigheid die u op elke leverancier van gevoelige gegevens zou toepassen.
  • Vraag hoe onderhandelingsbureaus intern toezicht houden op en controle uitoefenen op de toegang van medewerkers tijdens lopende ransomware-zaken.
  • Verminder de hoeveelheid gevoelige gegevens die is opgeslagen in systemen die kwetsbaar zijn voor compromittering, aangezien minder blootstelling minder macht betekent voor aanvallers of insiders.
  • Behandel ransomware-onderhandeling als een beslissing die zijn eigen toezicht vereist, niet als een zwarte doos die volledig door een derde partij wordt afgehandeld.

De zaak-Martino is een zeldzaam maar ernstig voorbeeld van insiderverraad binnen de ransomware-responsbranche. Het betekent niet dat onderhandelingsbureaus in het algemeen niet te vertrouwen zijn, maar het onderstreept wel dat vertrouwen geverifieerd moet worden, niet aangenomen, vooral wanneer de meest gevoelige details van een inbraak van een bedrijf op het spel staan.