Een vertrouwde tussenpersoon die een criminele medeplichtige werd

Een man uit Florida die als ransomware-onderhandelaar werkte, is veroordeeld voor het helpen van een beruchte ransomwaregroep bij het afpersen van Amerikaanse bedrijven, aldus TechCrunch. Hij is de derde onderhandelaar die in verband met dit plan is opgesloten, een detail dat onderstreept hoezeer sommige zogenaamde incident response-professionals verstrengeld raakten in de criminele operaties die ze eigenlijk moesten bestrijden.

Ransomware-onderhandelaars hebben doorgaans een legitieme rol. Wanneer een bedrijf wordt getroffen door ransomware, schakelt de interne IT-afdeling of externe juridische bijstand vaak een specialist in om met de aanvallers te communiceren, decryptiemogelijkheden te verifiëren en te proberen de losgeldeis te verlagen. Deze onderhandelaars bevinden zich in een vreemd tussengebied: ze moeten voldoende vertrouwd zijn met criminele forums, betaalroutes met cryptovaluta en communicatiekanalen op het darkweb om effectief te zijn, maar horen nadrukkelijk aan de kant van het slachtoffer te staan.

Deze zaak laat zien wat er gebeurt als die grens wordt overschreden. In plaats van uitsluitend op te treden namens de bedrijven die voor zijn diensten betaalden, zou de veroordeelde onderhandelaar hebben samengewerkt met de ransomwarebende zelf, door slachtoffers richting betaling te sturen en daarmee de criminelen te helpen profiteren van de afpersing.

Hoe ransomwarebendes anonimiteitstools misbruiken

Ransomware-operaties steunen op een gelaagd ecosysteem van anonimiteits- en encryptietools die oorspronkelijk voor legitieme privacydoeleinden zijn ontwikkeld. Criminele groepen leiden communicatie via anonimiseringsnetwerken, gebruiken versleutelde berichten om met gelieerde partijen te coördineren, en eisen betaling in cryptovaluta juist omdat die moeilijker te traceren is dan traditionele banktransacties.

Een gecompromitteerde of medeplichtige onderhandelaar voegt een extra laag versluiering toe. Omdat van onderhandelaars wordt verwacht dat zij in de uitoefening van hun functie contact hebben met dreigingsactoren, kan hun communicatie opgaan in de normale incident response-activiteit, waardoor het voor slachtoffers, verzekeraars en wetshandhaving moeilijker wordt om heimelijke verstandhouding te ontdekken. Deze zaak herinnert ons eraan dat dezelfde privacy- en encryptietechnologieën die journalisten, activisten en gewone gebruikers beschermen tegen surveillance ook kunnen worden misbruikt door kwaadwillenden die hun sporen willen uitwissen. De tools zelf zijn neutraal; het gaat om de intentie waarmee ze worden gebruikt.

Voor alledaagse gebruikers van vpn's en privacytools is dit onderscheid van belang. Versleuteling of anonimisering gebruiken om je persoonlijke gegevens te beschermen is niet hetzelfde als die tools inzetten om afpersing te faciliteren. Betrouwbare privacydiensten bestaan om legitieme communicatie en gegevens te beveiligen, niet om criminele ondernemingen af te schermen. Iedereen die wordt ingehuurd om een slachtofferorganisatie bij een beveiligingsincident te vertegenwoordigen, heeft de plicht om in het belang van die organisatie te handelen, niet om de aanvallers in het geheim van dienst te zijn.

De golfbewegingen van ransomware-afpersing

Ransomware-aanvallen blijven zelden beperkt tot één bedrijf. Slachtofferorganisaties beschikken vaak over gevoelige klantgegevens en wanneer onderhandelingen mislukken of betalingen een lek niet stoppen, kunnen die gegevens openbaar worden blootgesteld. Het Humana-datalek dat gezondheidsgegevens in zes staten blootlegde illustreert hoe een enkel beveiligingsincident bij één bedrijf kan uitgroeien tot gevolgen voor klanten in meerdere staten, ongeacht de oorsprong van het lek. Medische dossiers, financiële details en persoonlijke identificatiegegevens zijn precies het soort data dat ransomwarebendes dreigen te lekken als er geen losgeld wordt betaald, en dat is de reden waarom toezichthouders en wetgevers zich steeds meer richten op hoe bedrijven zowel vóór als na een inbreuk met gevoelige informatie omgaan.

Die regeldruk neemt toe. Staten hebben hun regels voor gegevensprivacy aangescherpt, zoals blijkt uit de Vermont Data Privacy and Online Surveillance Act, en er lopen rechtszaken naar aanleiding van spraakmakende inbreuken, waaronder de lopende zaak rond de 23andMe genetische data-rechtszaak. Deze zaken tonen aan dat de nasleep van een ransomware-incident of datalek veel verder reikt dan de oorspronkelijke aanval, en jarenlang doorwerkt in juridische, regelgevende en consumentenvertrouwensdimensies.

Wat dit voor u betekent

Als uw organisatie ooit door ransomware wordt getroffen, is het zorgvuldig screenen van wie u inschakelt van enorm belang. Een onderhandelaar, incident response-bedrijf of consultant moet over verifieerbare referenties, duidelijke belangenconflictverklaringen en een transparant proces voor de communicatie met aanvallers beschikken. Stel gerichte vragen over hun staat van dienst en of er financiële relaties zijn die verband houden met losgeldbetalingen.

Voor individuele gebruikers is de les breder: privacytools zoals vpn's en versleutelde berichtendiensten bestaan om je gegevens en communicatie te beschermen tegen ongewenste surveillance, niet om afpersingspraktijken mogelijk te maken. Dat onderscheid begrijpen helpt legitieme privacybelangen te scheiden van crimineel misbruik, en het is de moeite waard dit in gedachten te houden wanneer krantenkoppen de twee weer eens op één hoop gooien.

Belangrijkste punten

  • Screen elke ransomware-onderhandelaar of incident response-bedrijf zorgvuldig voordat u hen inschakelt tijdens een actieve inbreuk.
  • Begrijp dat ransomwarebendes gebruikmaken van encryptie- en anonimiteitstools die voor legitieme privacydoeleinden zijn ontwikkeld, en dat misbruik niets afdoet aan de tools zelf.
  • Blijf op de hoogte van hoe ransomware-incidenten persoonlijke gegevens kunnen blootleggen, en controleer uw eigen accounts als u verneemt dat een bedrijf dat uw gegevens beheert, is getroffen.
  • Steun strengere regels voor gegevensprivacy op staats- en federaal niveau, aangezien die bepalen hoe bedrijven gevoelige informatie na een incident moeten beschermen en openbaar maken.

Deze veroordeling herinnert ons eraan dat de strijd tegen ransomware verder reikt dan technische verdediging. Het hangt ook af van de integriteit van de mensen en bedrijven die slachtoffers vertrouwen om hen door een crisis te helpen.