En betrodd insider ble medsammensvoren

Når et selskap blir utsatt for løsepengevirus, tyr det ofte til en spesialisert forhandler for å håndtere den sårbare samtalen med høy innsats overfor angriperne. Det var nettopp rollen Angelo Martino (41) hadde i DigitalMint, et firma som hjelper organisasjoner med å håndtere løsepengeangrep og forhandle om betaling på deres vegne. Martino ble hentet inn under pågående angrep og satt på den siden av bordet som skulle beskytte ofrene.

Ifølge rettsdokumenter arbeidet Martino i stedet i hemmelighet med tilknyttede aktører i BlackCat-gruppen (også kjent som ALPHV), en av de mer beryktede utpressingsoperasjonene de siste årene. I stedet for å ivareta klientenes interesser skal han ha gitt angriperne konfidensiell informasjon fra innsiden av forhandlingene han skulle føre på ofrenes vegne. Denne innsidekunnskapen skal ha hjulpet gjengen med å presse fram større utbetalinger, og rapporter tyder på at opplegget bidro til om lag 75 millioner dollar presset ut av offerorganisasjoner i flere saker. Martino erkjente straffskyld og ble dømt til 70 måneder i føderalt fengsel.

Hvordan opplegget undergravde forhandlinger ved løsepengeangrep

Forhandlinger ved løsepengeangrep finnes fordi selskaper som rammes ofte mangler spesialkompetansen for å kommunisere med kriminelle grupper, vurdere truslenes troverdighet eller avgjøre om det i det hele tatt er tilrådelig å betale løsepenger. Firmaer som DigitalMint skal fungere som en brannmur, bruke erfaringen sin til å redusere kravene, bekrefte muligheten for datagjenoppretting og hindre at ofrene blir utnyttet to ganger.

Martino-saken snur denne modellen på hodet. Ved å lekke sensitive detaljer fra pågående forhandlinger, inkludert intern klientinformasjon, økonomiske grenser og offerets forhandlingsposisjon, ga han i praksis BlackCat-tilknyttede aktører den dreieboken de trengte for å presse fram maksimale utbetalinger. Dette er et dypt tillitsbrudd, ikke bare mellom Martino og arbeidsgiveren hans, men også mellom arbeidsgiveren og enhver klient som antok at krisehåndteringsteamet deres utelukkende jobbet for dem.

Denne typen innsidekollusjon er spesielt skadelig fordi ofre for løsepengeangrep allerede befinner seg i en sårbar posisjon. De er ofte under press for å ta raske avgjørelser om sensitive data, driftsstans og regulatorisk eksponering. Saker som Instructure betalte løsepenger etter Canvas-bruddet viser hvordan organisasjoner noen ganger konkluderer med at betaling er det minst skadelige alternativet. Når forhandleren som håndterer den avgjørelsen har et økonomisk insentiv for å motarbeide offeret, blir hele beregningen som brukes for å rettferdiggjøre en betaling kompromittert.

Hvorfor denne saken reiser større personvernbekymringer for virksomheter

Personvernkonsekvensene her strekker seg langt utover de umiddelbare økonomiske tapene. Forhandlinger ved løsepengeangrep innebærer vanligvis deling av svært sensitivt materiale: omfanget av stjålne data, interne sikkerhetsvurderinger, kommunikasjon i ledelsen og detaljer om hva et selskap er villig til å betale. Ofre deler denne informasjonen under antakelsen om at den forblir innenfor en strengt kontrollert krets av betrodde aktører.

Martinos handlinger viser at økosystemet for hendelseshåndtering selv kan bli et svakhetsledd. Selv organisasjoner som gjør alt riktig etter et brudd – hyrer anerkjente firmaer, følger anbefalte protokoller og samarbeider med politiet – kan likevel få dataene og forhandlingsposisjonen sin undergravd innenfra. Dette speiler pressetaktikken man ser i andre profilerte utpressingskampanjer, som den eskalerende taktikken da ShinyHunters vandaliserte skoleportaler under Canvas-løsepengekampanjen, der angripere lente seg på offentlig ydmykelse og datamakt for å tvinge fram en løsning.

Hva dette betyr for deg

Dersom organisasjonen din noen gang havner i forhandlinger med en løsepengegruppe, er denne saken en påminnelse om at leverandørutvelgelsesprosessen fortjener like mye gransking som cybersikkerhetsverktøyene dine. Spør potensielle forhandlingsfirmaer om interne kontrollrutiner, bakgrunnssjekk av ansatte og hvordan klientdata segmenteres og overvåkes under en pågående sak. Be om klarhet i hvem som har tilgang til forhandlingsdetaljer og om noen enkeltperson har ukontrollert myndighet over kommunikasjon med angripere.

For enkeltpersoner og mindre virksomheter uten ressurser til omfattende leverandørsjekk, er takeawayen bredere: reduser mengden sensitive data som kan eksponeres i utgangspunktet. Gode rutiner for sikkerhetskopiering, nettverkssegmentering og begrensning av personopplysninger eller finansiell informasjon som lagres i lett tilgjengelige systemer, reduserer alle pressmidlene en løsepengegruppe – eller en kompromittert innsider – kan holde over deg.

Viktige punkter

  • Gransk hendelseshåndterings- og forhandlingsfirmaer med samme grundighet som du vil bruke overfor enhver leverandør som håndterer sensitive data.
  • Spør hvordan forhandlingsfirmaer internt overvåker og reviderer ansattes tilgang under pågående løsepengeangrep.
  • Reduser mengden sensitive data som lagres i systemer sårbare for kompromittering, siden mindre eksponering gir mindre pressmiddel for angripere eller innsidere.
  • Behandle forhandlinger ved løsepengeangrep som en avgjørelse som krever egen tilsyn og kontroll, ikke en svart boks som håndteres fullstendig av en tredjepart.

Martino-saken er et sjeldent, men alvorlig eksempel på insider-svik innenfor responsindustrien for løsepengeangrep. Det betyr ikke at forhandlingsfirmaer ikke kan stoles på generelt, men det understreker at tillit bør verifiseres, ikke forutsettes – spesielt når et selskaps mest sensitive brudd-detaljer står på spill.