Federale onderzoekers hebben naar verluidt leidinggevenden geïdentificeerd bij twee afzonderlijke onderhandelingsbureaus voor cyberincidenten die ongewoon nauwe banden onderhielden met de afpersgroep ShinyHunters. Volgens berichtgeving van KrebsOnSecurity, samengevat door Security Arsenal, zou één in de VS gevestigde leidinggevende zelfs verder zijn gegaan en hebben geholpen bij het beheren van de website die werd gebruikt om slachtoffers onder druk te zetten om te betalen. De beschuldiging over de ShinyHunters ransomonderhandelaar afpersingssite is nog steeds precies dat: een beschuldiging. Maar het roept een moeilijke vraag op voor iedereen wiens gegevens bij een bedrijf liggen dat op een dag mogelijk wordt getroffen door een datalek: wie zit er werkelijk aan de andere kant van de tafel?

Wat onderzoekers beweren over de onderhandelaars en ShinyHunters

De berichtgeving stelt dat federale onderzoekers, werkend met gegevens van de FBI, leidinggevenden hebben geïdentificeerd bij twee onderhandelingsbureaus die nauw contact hadden met ShinyHunters. Van één van hen, een in de VS gevestigde leidinggevende, wordt beweerd dat hij heeft geholpen bij het beheren van de site die de groep gebruikte om slachtoffers onder druk te zetten om losgeld te betalen.

Een paar punten zijn het waard in gedachten te houden. De beschikbare samenvatting zet geen aanklachten uiteen, en de beweringen komen uit berichtgeving over wat onderzoekers vermoeden. Noch de leidinggevenden noch hun bureaus worden genoemd in het materiaal dat wij hebben bekeken, dus we zullen niet speculeren over identiteiten. Beschouw dit als een lopend verhaal en verwacht dat details veranderen naarmate meer informatie wordt bevestigd.

Hoe onderhandelings- en afpersingssites werken

Wanneer een bedrijf wordt getroffen door een datadiefstal of ransomware-aanval, huurt het vaak een extern bureau in om de communicatie met de aanvallers af te handelen. Deze onderhandelaars verifiëren doorgaans wat er is gestolen, proberen de eis te verlagen en regelen de betaling als het bedrijf besluit te betalen. Omdat zij rechtstreeks met criminelen spreken, beschikken zij over gevoelige kennis: hoeveel het slachtoffer zich kan veroorloven, welke gegevens zijn gestolen en hoe urgent de deadline van het bedrijf is.

Afpersingssites zijn het drukmiddel aan de andere kant. Groepen zoals ShinyHunters gebruiken een website om slachtoffers te noemen, te dreigen met publicatie van gestolen gegevens en bedrijven richting een deal te duwen. De site maakt deel uit van de verkooppitch: hoe geloofwaardiger en angstaanjagender de dreiging, hoe waarschijnlijker het is dat een slachtoffer betaalt.

Dat is waarom de beschuldiging ertoe doet. Als een onderhandelaar ook heeft geholpen bij het beheren van de druksite, zou dezelfde persoon in theorie zowel de vertrouwde adviseur van het slachtoffer als deelnemer aan de dreiging kunnen zijn. Dat is een schoolvoorbeeld van belangenverstrengeling, en het slachtoffer weet er mogelijk niets van.

Waarom belangenverstrengeling bij incidentrespons ertoe doet

Incidentrespons is afhankelijk van vertrouwen. Een getroffen bedrijf overhandigt logs, netwerkdetails en gevoelige bedrijfsinformatie aan de mensen die helpen bij het herstel. Als een van die adviseurs banden heeft met de aanvallers, kunnen er meerdere dingen misgaan:

  • Onderhandelingsmacht kan uitlekken. Weten wat het budget of de deadline van een slachtoffer is, helpt een afperser de prijs te bepalen.
  • Advies kan vertekend zijn. Een adviseur met een belangenconflict zou een bedrijf kunnen aanzetten tot betalen in plaats van herstel via een andere weg.
  • Gegevensverwerking wordt onzeker. Betaling zou verwijdering van gestolen gegevens moeten opleveren, maar zoals bij andere recente afpersingszaken is er geen manier om zeker te weten dat de gegevens echt weg zijn.

Voor klanten, patiënten, studenten of werknemers wier gegevens zich in het getroffen bedrijf bevinden, is dit buiten hun macht. Je kiest de onderhandelaar niet, en je komt zelden te weten wie het was. Voor de hele sector is dat een reden om te vragen om duidelijkere screening en openbaarmaking van belangenconflicten, en voor toezichthouders en verzekeraars om te kijken hoe deze bureaus worden doorgelicht.

Wat dit voor jou betekent

Je kunt de incidentresponspartners van je leveranciers niet controleren. Wat je wel kunt doen, is de schade beperken als je gegevens in verkeerde handen terechtkomen, ongeacht wie de onderhandeling heeft gevoerd. Ga ervan uit dat een betaling niet garandeert dat je informatie is vernietigd, en dat gestolen gegevens kunnen worden hergebruikt in vervolgzwendel. Afpersgroepen en copycats misbruiken ook nieuws over datalekken: een nep-ShinyHunters-sextortion-e-mail heeft naar verluidt bijvoorbeeld echte lekgegevens gebruikt om dreigementen geloofwaardig te laten lijken.

Wat te doen als een bedrijf dat je gebruikt wordt getroffen

Wanneer er een bericht over een datalek binnenkomt, onderneem dan actie in plaats van te wachten tot het verhaal zich heeft uitgekristalliseerd:

  1. Wijzig hergebruikte wachtwoorden. Begin met de getroffen dienst en daarna elk ander account dat hetzelfde wachtwoord deelt. Gebruik een uniek wachtwoord voor elk account, idealiter opgeslagen in een wachtwoordmanager.
  2. Schakel multi-factor-authenticatie in. Geef waar mogelijk de voorkeur aan een authenticator-app of hardwarematige sleutel boven sms.
  3. Let op phishing- en afpersingsmails. Wees sceptisch over berichten die echte details over jou aanhalen en om geld of snelle actie vragen. Antwoord niet, klik niet op links en open geen bijlagen. Ga rechtstreeks naar de officiële site van het bedrijf.
  4. Controleer het bericht zelf. Bevestig dat het van het bedrijf afkomstig is via een kanaal dat je kunt verifiëren, aangezien aanvallers berichten over datalekken nabootsen.
  5. Houd je accounts in de gaten. Controleer bank- en creditcardafschriften en overweeg een kredietblokkade als het bericht zegt dat financiële gegevens of identiteitsgegevens zijn blootgesteld.

De kern van de zaak

Het vermeende verband tussen een losgeldonderhandelaar en een ShinyHunters-afpersingssite is nog geen uitgemaakte zaak, maar het laat zien hoeveel van de respons op datalekken draait op vertrouwen dat individuen niet kunnen zien. Totdat de feiten volledig vaststaan, is de verstandige aanpak jezelf elke keer op dezelfde manier te beschermen: unieke wachtwoorden, multi-factor-authenticatie en een gezonde argwaan tegenover elk bericht dat leunt op je gelektte gegevens om je bang te maken. Doe die dingen na elk bericht over een datalek, en je vermindert de waarde van wat de aanvallers, of hun tussenpersonen, ook in handen hebben.