Hva skjedde: Forhandleren som jobbet for begge sider

Når et selskap blir rammet av løsepengevirus, er et av de første anropene til en forhandler: en spesialist som stoles på å sitte mellom et panikkslagent offer og en kriminell gjeng, og jobber for å redusere løsepengekravet eller kjøpe tid til gjenoppretting. Dette forholdet avhenger helt og holdent av tillit. Ifølge rapportering fra Malwarebytes brøt en slik forhandler denne tilliten på den mest skadelige måten mulig. I stedet for å hjelpe ofre med å presse tilbake mot BlackCat-løsepengegjengen, matet han i all hemmelighet de kriminelle med informasjon fra forhandlingene han skulle lede på vegne av ofrene.

Resultatet ble et scenario med innsidetrussel fra en løsepengeforhandler som kostet ofrene millioner. I stedet for å fungere som en brannmur mellom et selskap og angriperen, ble forhandleren i praksis en ekstra angriper, med privilegert tilgang til offerets økonomiske grenser, juridiske strategi og betalingsvilje. Det er omtrent så ille som en hendelseshåndteringssvikt kan bli, fordi det gjør selve sikkerhetsmekanismen organisasjoner betaler for til en ansvarsrisiko.

Hvordan løsepengevirus-som-tjeneste-gjenger rekrutterer pålitelige mellomledd

BlackCat, også kjent som ALPHV, opererer som en løsepengevirus-som-tjeneste-gruppe (RaaS), noe som betyr at den lisensierer sin skadevare og infrastruktur til tilknyttede aktører som utfører angrep og deler overskuddet. Denne forretningsmodellen har alltid basert seg på å bygge nettverk av mennesker som er villige til å samarbeide for en andel av inntektene, fra innledende tilgangsmeglere som selger stjålne legitimasjonsopplysninger til tilknyttede som distribuerer selve krypteringsnyttelasten. En kompromittert eller medvirkende forhandler er rett og slett neste logiske utvidelse av dette nettverket: noen som er innebygd i det legitime hendelseshåndteringsmiljøet og kan dele etterretning gjengen aldri kunne skaffet på egen hånd.

Dette er nettopp grunnen til at saken er viktig utover BlackCat selv. Løsepengegjenger forstår i økende grad at det svakeste leddet i en bruddrespons ikke alltid er en brannmur eller en upatchet server. Det kan være en person, og særlig en person offeret har valgt å stole på i det mest stressende øyeblikket av en sikkerhetshendelse. Det samme prinsippet om å utnytte tillit og tilgang dukker opp over hele landskapet for løsepengevirus og datautpressing, inkludert i hendelser som ShinyHunters-bruddet på Europarådets HR-systemer, der angriperne igjen demonstrerte hvor effektivt kriminelle grupper kan utnytte intern tilgang når de først finner en vei inn.

Hvorfor dette utvider angrepsflaten for ofre for datainnbrudd

De fleste organisasjoner tenker på løsepengevirusrisiko i lys av sitt eget nettverk: endepunkter, servere, sikkerhetskopier, ansattopplæring. Langt færre tenker på risikoen som innføres av leverandører og konsulenter de henter inn etter at et angrep allerede har startet. Men en forhandler, på samme måte som en rettsmedisinsk etterforsker eller en bruddcoach, har ofte tilgang til noe av den mest sensitive informasjonen et selskap besitter i en krise: beløpet offeret er forberedt på å betale, hvilke data som faktisk ble stjålet, og hvor desperat organisasjonen er for å unngå offentliggjøring.

Når denne tilgangen misbrukes, forsterkes skadene. Ofre taper ikke bare penger på selve løsepengene; de mister også den innflytelsen de hadde i forhandlingene, fordi gjengen allerede kjenner bunnlinjen deres før samtalene i det hele tatt begynner. Denne saken er en påminnelse om at forsyningskjeden for hendelseshåndtering fortjener samme granskning som enhver annen leverandørrelasjon, og at tillit i en krise aldri bør tas for gitt bare fordi noen har riktig stillingstittel.

Hvordan undersøke hendelsesrespondere og forhandlere før en krise inntreffer

Den beste tiden å undersøke en løsepengeforhandler eller et hendelseshåndteringsfirma er før et angrep skjer, ikke under ett, når tidspress gjør grundig due diligence nesten umulig. Organisasjoner kan ta flere konkrete skritt:

  • Bekreft firmaets resultater og be om referanser fra tidligere klienter som har opplevd lignende hendelser.
  • Spør hvordan firmaet undersøker sine egne ansatte, inkludert bakgrunnssjekker og internkontroll for hvem som får tilgang til forhandlingsdetaljer.
  • Krev dokumenterte, reviderbare kommunikasjonslogger under enhver forhandling, i stedet for å stole på ett enkelt kontaktpunkt.
  • Involver ekstern juridisk rådgiver eller en ekstra sikkerhetsrådgiver for uavhengig å verifisere større beslutninger, slik som løsepengebeløp eller betalingstidspunkt.
  • Bygg disse leverandørrelasjonene og kontraktene på forhånd, som en del av en beredskapsavtale for hendelseshåndtering, i stedet for å måtte finne hjelp midt i et datainnbrudd.

Hva dette betyr for deg

Hvis organisasjonen din har en responsplan for løsepengevirus, er denne saken en god anledning til å gjennomgå hvem som faktisk står på planen og hvor godt du kjenner dem. En innsidetrussel fra en løsepengeforhandler er sjelden, men konsekvensene er alvorlige nok til at en beskjeden mengde forhåndsundersøkelser er verdt innsatsen. Den samme logikken gjelder for enhver tredjepart med privilegert tilgang under et datainnbrudd: rettsmedisinske etterforskere, juridiske rådgivere og PR-byråer fortjener alle den samme granskningen du ville gitt en ny programvareleverandør.

Viktige punkter

  • Undersøk hendelses- og forhandlingsfirmaer før en krise, inkludert bakgrunnssjekker av ansatte og referanser.
  • Krev dokumenterte, reviderbare logger over alle løsepengeforhandlinger i stedet for å stole på én enkelt betrodd person.
  • Behandle tredjeparts respondere som en del av angrepsflaten din, ikke bare forsvaret ditt.
  • Hold deg oppdatert på hvordan løsepenge- og utpressingsgrupper utnytter tillit i alle faser av et datainnbrudd, fra innledende tilgang til avsluttende forhandling.