Een vertrouwde insider keerde zich tegen zijn eigen klanten
Wanneer een bedrijf getroffen wordt door ransomware, schakelt het doorgaans een onderhandelaar in, iemand wiens taak het is om met aanvallers te communiceren, de situatie in te schatten en te proberen de schade te beperken. Die relatie staat of valt met vertrouwen. Een voormalig onderhandelaar bij incident response-bureau DigitalMint heeft nu laten zien wat er gebeurt als dat vertrouwen wordt geschonden.
Angelo Martino (41) is veroordeeld tot 70 maanden federale gevangenisstraf wegens samenzwering met de BlackCat-ransomwaregroep (ook bekend als ALPHV) terwijl hij werkte als onderhandelaar die zogenaamd de belangen van slachtoffers behartigde. In plaats van zijn klanten alleen maar te verdedigen, gebruikte Martino zijn positie om informatie terug te spelen naar de criminelen die zijn klanten juist probeerden af te weren, zo meldt Help Net Security. De zaak, die verder wordt toegelicht in onze eerdere berichtgeving over de 70 maanden cel voor DigitalMint-onderhandelaar wegens BlackCat-verraad, benadrukt een dreiging waar de meeste ransomware-slachtoffers nooit aan denken: de persoon die is ingehuurd om hen te beschermen.
Waarom ransomware-onderhandelaars zoveel gevoelige gegevens in handen hebben
Ransomware-onderhandelaars bekleden een uitzonderlijk bevoorrechte positie. Om hun werk effectief te kunnen doen, hebben ze doorgaans toegang nodig tot details die de meeste medewerkers binnen een getroffen organisatie nooit te zien krijgen: de omvang van het datalek, welke gegevens zijn gestolen, hoe hoog de cyberverzekeringsdekking is en welk bedrag het bedrijf realistisch gezien bereid of in staat is te betalen. Die informatie is goud waard voor een aanvaller. Als je weet wat de verzekeringslimieten van een slachtoffer zijn, kan een ransomwaregroep zijn losgeldeis afstemmen om de maximaal mogelijke betaling af te dwingen.
Juist dit maakt de zaak-Martino vanuit privacy-oogpunt opmerkelijk. Het was geen externe hacker die inbrak in de systemen van een bedrijf. Het was een insider, iemand die specifiek was binnengehaald vanwege de gevoelige toegang die zijn rol vereiste, en die deze toegang naar verluidt misbruikte tegen de mensen die hem hadden ingehuurd. Incident response- en onderhandelingsbureaus bestaan omdat de meeste organisaties niet de specialistische kennis in huis hebben om een ransomware-crisis intern af te handelen. Dat beroep op externe experts is redelijk en vaak noodzakelijk, maar het betekent ook dat slachtoffers vertrouwen schenken aan een derde partij zonder dat ze goed kunnen verifiëren of dat vertrouwen terecht is.
Het bredere ransomware-ecosysteem dwingt slachtoffers nu al tot lastige privacy-afwegingen. Het betalen van losgeld garandeert niet dat gestolen gegevens worden verwijderd, en bij onderhandelen ga je ervan uit dat de tegenpartij – en iedereen die je adviseert – te goeder trouw handelt. Een zaak als deze ondermijnt die aanname op een manier die slachtoffers weleens terughoudender zou kunnen maken om volledige openheid te geven aan de professionals die hen juist moeten helpen, waardoor incident response mogelijk vertraagt op het moment dat het er het meest toe doet.
Wat dit voor jou betekent
De meeste lezers zullen nooit zelf een ransomware-onderhandelaar inhuren, maar de onderliggende les is breed toepasbaar: externe leveranciers die toegang hebben tot jouw gevoelige gegevens zijn slechts zo betrouwbaar als de zwakste schakel binnen die leveranciersorganisatie. Of het nu een advocatenkantoor is, een incident response-aannemer, een cloudprovider of welk bedrijf dan ook dat jouw persoonlijke of financiële gegevens verwerkt, de veiligheid van die relatie hangt af van interne controles die jij van buitenaf niet kunt zien.
Voor bedrijven is deze zaak een herinnering om vóór en tijdens een ransomware-incident kritische vragen te stellen. Wie binnen het onderhandelingsbureau heeft toegang tot verzekeringsdetails en betalingsbevoegdheid? Zijn er interne controles die voorkomen dat één medewerker zonder toezicht rechtstreeks met dreigers communiceert? Worden gesprekken gelogd en gecontroleerd? Dit zijn vragen die de meeste bedrijven midden in een crisis niet bedenken, maar ze zouden deel moeten uitmaken van het due diligence-proces voordat een inbreuk plaatsvindt, niet pas erna.
Voor individuen is de conclusie indirecter, maar niet minder relevant. Wanneer een bedrijf waar jij zaken mee doet getroffen wordt door ransomware, heb je grotendeels geen controle over hoe dat incident wordt afgehandeld, inclusief wie er tijdens de onderhandelingen toegang heeft tot jouw gecompromitteerde gegevens. Dat is nog een reden om in de eerste plaats zo min mogelijk gevoelige persoonsgegevens met een enkele organisatie te delen, en om tools als wachtwoordmanagers en multi-factor-authenticatie te gebruiken, zodat één inbreuk niet kan uitgroeien tot een grootschalige overname van accounts.
Adviezen om insider-risico’s voor te blijven
Deze veroordeling zendt een duidelijk signaal dat verraad door een insider tijdens een ransomware-respons ernstige juridische gevolgen heeft, maar preventie is belangrijker dan bestraffing achteraf. Als jouw organisatie met incident response- of onderhandelingsbureaus werkt, sta dan aan op gedocumenteerde toegangscontroles, onafhankelijk toezicht op de onderhandelingen en duidelijke contractuele verantwoording. Als je als individu getroffen wordt door een inbreuk bij een bedrijf dat je vertrouwt, neem meldingen dan serieus, wijzig hergebruikte wachtwoorden en monitor accounts die aan die organisatie gekoppeld zijn.
De zaak-Martino zal in het ransomware-onderhandelaarsvak waarschijnlijk nog jaren als waarschuwend voorbeeld genoemd worden. Voor alle anderen is het een nuttige herinnering dat vertrouwen in een crisis verdiend en geverifieerd moet worden, niet vanzelfsprekend is.
