Ransomware-onderhandelaar Martino krijgt 70 maanden cel voor banden met BlackCat

Een vertrouwde onderhandelaar werkte voor de aanvallers

Als een bedrijf getroffen wordt door ransomware, is een van de eerste telefoontjes vaak naar een professionele onderhandelaar, iemand die wordt ingehuurd om de losgeldeis omlaag te praten, tijd te rekken en als buffer te fungeren tussen paniekerige directieleden en criminele hackers. Dat systeem is volledig gebaseerd op vertrouwen. Een recente federale veroordeling laat zien wat er gebeurt wanneer dat vertrouwen van binnenuit wordt geschonden.

Een ransomware-onderhandelaar is veroordeeld tot 70 maanden federale gevangenisstraf, nadat aanklagers hadden vastgesteld dat hij in het geheim samenspande met de BlackCat-groep (ook bekend als ALPHV) terwijl hij beweerde slachtoffers te vertegenwoordigen. In plaats van de bedrijven te beschermen die hem inhuurden, zou hij aanvallers gevoelige details hebben doorgespeeld, waaronder informatie over de verzekeringsdekking en betalingslimieten van cliënten, waardoor de criminelen meer invloed kregen om hogere bedragen te eisen en effectiever druk uit te oefenen. Als onderdeel van de straf moet hij ook cryptovaluta inleveren die verband houdt met het plan.

In de zaak zijn minstens vijf gedupeerde organisaties geïdentificeerd, waaronder een producent van medische apparatuur in Florida die aanvankelijk een losgeldeis van $10 miljoen kreeg en uiteindelijk ongeveer $1,2 miljoen betaalde, een farmaceutisch bedrijf in Maryland en een dokterspraktijk. De volle omvang van het plan bleek ook verweven met onderlinge strijd tussen rivaliserende ransomwarebendes, waarbij de ene groep dreigde de activiteiten van de andere bloot te leggen — een herinnering dat zelfs criminele ecosystemen niet immuun zijn voor interne conflicten en verraad.

Hoe het plan slachtoffers ondermijnde

Ransomware-onderhandelaars bekleden een bijzonder gevoelige positie. Om hun werk te kunnen doen, moeten ze doorgaans toegang hebben tot informatie die de meeste bedrijven nooit aan een buitenstaander zouden geven: hoeveel contant geld er beschikbaar is, wat de cyberverzekering precies dekt, interne deadlines en hoe wanhopig de leiding is om de situatie in stilte op te lossen. Die informatie hoort vertrouwelijk te blijven en uitsluitend te worden gebruikt om de belangen van de cliënt tijdens de onderhandeling te beschermen.

Wanneer een onderhandelaar die informatie in plaats daarvan aan de aanvallers doorspeelt, is het hele incidentresponsproces al gecompromitteerd voordat het goed en wel is begonnen. Slachtoffers denken dat ze vanuit een goed geïnformeerde strategie onderhandelen, terwijl de tegenpartij in werkelijkheid hun financiële plafond al kent. Die scheve verhouding verklaart waarschijnlijk waarom de eisen in deze zaken zo agressief escaleren, en waarom de eerste eis aan het medische-apparatuurbedrijf acht keer hoger was dan wat het uiteindelijk betaalde.

Dit is geen incident op zichzelf. Zoals we berichtten in onze verslaggeving over een in Florida veroordeelde ransomware-onderhandelaar in een aparte Amerikaanse afpersingszaak, heeft de politie inmiddels meerdere onderhandelaars geïdentificeerd die verbonden zijn met hetzelfde BlackCat-netwerk voor afpersing. Het patroon suggereert dat dit geen eenmalig verraad was, maar een doelbewuste, ten minste gedeeltelijk georganiseerde poging om de incidentresponsbranche van binnenuit uit te buiten.

Privacy-implicaties voor slachtoffers van datalekken

De privacygevolgen reiken hier veel verder dan de losgeldbedragen. Producenten van medische apparatuur, farmaceutische bedrijven en dokterspraktijken beschikken routinematig over gevoelige patiënt- en gezondheidsgegevens. Wanneer een onderhandelaar in het geheim tegen de belangen van een slachtoffer werkt, roept dat reële vragen op over welke andere vertrouwelijke informatie mogelijk is blootgesteld, verkeerd behandeld of als extra drukmiddel gebruikt tijdens het afpersingsproces. Bedrijven die actief zijn in de gezondheidszorg en andere gereguleerde sectoren zijn al verplicht om patiëntgegevens te beschermen onder strikte privacyverplichtingen, en een verrader van binnenuit tijdens een ransomware-incident compliceert elke stroomafwaartse beslissing, inclusief of en hoe betrokken personen moeten worden geïnformeerd.

Het legt ook een blinde vlek bloot die veel organisaties pas overwegen als het te laat is: incidentresponseleveranciers, waaronder onderhandelaars, forensische bedrijven en zelfs juridisch adviseurs die bij een datalek worden ingeschakeld, worden zelden met dezelfde nauwkeurigheid gescreend als andere derde-partijrisico’s. Een bedrijf kan uitgebreid due diligence uitvoeren op een cloudleverancier of softwareverkoper, maar bij een crisis een onderhandelaar inschakelen op basis van hoofdzakelijk reputatie of urgentie.

Wat dit voor jou betekent

Als jouw organisatie ooit een ransomware-onderhandelaar of incidentresponsebedrijf moet inhuren, is deze zaak een reden om pas op de plaats te maken, niet om in paniek te raken. Verifieer referenties onafhankelijk in plaats van alleen te vertrouwen op verwijzingen van je verzekeraar of een enkel contactpersoon. Stel directe vragen over hoe cliëntinformatie wordt behandeld, opgeslagen en gedeeld, en sta op schriftelijke grenzen aan wat de onderhandelaar wel en niet mag onthullen. Als je cyberverzekering een specifieke leverancierslijst voorschrijft, neem die lijst dan proactief door, voordat een aanval plaatsvindt, in plaats van te haasten tijdens een actief incident wanneer zowel druk als beoordelingsvermogen zijn aangetast.

Voor individuen is de conclusie eenvoudiger maar nog steeds belangrijk: als je bericht krijgt dat een zorgaanbieder, apotheek of producent van medische apparatuur waarmee je contact hebt gehad, te maken heeft gehad met een ransomware-incident, neem de melding dan serieus, zelfs als het bedrijf zegt dat de blootstelling van gegevens beperkt was. Zaken als deze tonen aan dat de interne afhandeling van een datalek veel rommeliger kan zijn dan publieke verklaringen suggereren.

Kernpunten

Deze veroordeling is een zeldzaam, concreet voorbeeld van hoe de rol van de ransomware-onderhandelaar, volledig gebouwd op vertrouwelijkheid en vertrouwen, kan worden misbruikt tegen juist die organisaties die hij moet beschermen. Screen je incidentresponseleveranciers voordat een crisis toeslaat, leg duidelijke grenzen voor het delen van informatie vast in elk contract en onthoud dat de slagkracht van een ransomware-onderhandelaar afhankelijk is van geheimhouding die aan jouw kant blijft, niet aan die van de aanvaller.