En betrodd innsider vendt mot sine egne klienter
Når et selskap blir rammet av løsepengevirus, ringer de vanligvis inn en forhandler, en person som har som jobb å kommunisere med angripere, vurdere situasjonen og prøve å redusere skaden. Det forholdet avhenger fullstendig av tillit. En tidligere forhandler hos hendelseshåndteringsfirmaet DigitalMint viste nettopp hva som skjer når den tilliten brytes.
Angelo Martino (41) ble dømt til 70 måneders føderalt fengsel for å ha konspirert med løsepengegruppen BlackCat (også kjent som ALPHV) mens han arbeidet som forhandler og angivelig skulle ivareta ofrenes interesser. I stedet for utelukkende å forsvare sine klienter, brukte Martino sin posisjon til å mate informasjon tilbake til de kriminelle klientene hans prøvde å stå imot, ifølge rapportering fra Help Net Security. Saken, som er ytterligere omtalt i vår tidligere dekning av DigitalMint-forhandlerens 70-måneders dom, belyser en trussel de fleste løsepengeofre aldri tenker på: personen som er hyret inn for å beskytte dem.
Hvorfor løsepengeforhandlere sitter på så mye sensitiv informasjon
Løsepengeforhandlere har en unik privilegert posisjon. For å gjøre jobben sin effektivt, trenger de vanligvis tilgang til detaljer som de fleste ansatte i offerorganisasjonen aldri får se: omfanget av innbruddet, hvilke data som ble stjålet, hvor mye cyberforsikringsdekning selskapet har, og hvor mye selskapet realistisk sett er villig eller i stand til å betale. Denne informasjonen er gull verdt for en angriper. Å kjenne offerets forsikringsgrenser gjør det for eksempel mulig for en løsepengegruppe å justere løsepengekravet for å presse ut størst mulig betaling.
Nettopp dette gjør Martino-saken bemerkelsesverdig fra et personvernståsted. Det var ikke en ekstern hacker som brøt seg inn i et selskaps systemer. Det var en innsider, en person som var hentet inn spesifikt på grunn av den sensitive tilgangen rollen hans krevde, som angivelig brukte denne tilgangen mot dem som hyret ham. Hendelseshåndterings- og forhandlingsfirmaer finnes fordi de fleste organisasjoner ikke har spesialkompetansen til å håndtere en løsepengekrise internt. Denne avhengigheten av eksterne eksperter er fornuftig og ofte nødvendig, men det betyr også at ofrene utvider tillit til en tredjepart med minimale muligheter til uavhengig å bekrefte at tilliten er berettiget.
Det bredere løsepengeøkosystemet tvinger allerede ofre til vanskelige personvernavveininger. Å betale løsepenger garanterer ikke at stjålne data blir slettet, og å forhandle i god tro forutsetter at motparten – og alle som gir deg råd – også handler i god tro. En sak som dette undergraver den forutsetningen på en måte som kan gjøre ofre mer nølende med å dele informasjon fullt ut med de fagpersonene som er ment å hjelpe dem, noe som potensielt kan forsinke hendelseshåndteringen i det mest kritiske øyeblikket.
Hva dette betyr for deg
De fleste lesere kommer aldri til personlig å hyre en løsepengeforhandler, men den underliggende lærdommen gjelder bredt: tredjepartsleverandører med tilgang til sensitive data er bare så pålitelige som det svakeste leddet i leverandørens organisasjon. Enten det er et advokatfirma, en hendelseshåndteringsleverandør, en skytjenesteleverandør eller ethvert selskap som håndterer din personlige eller økonomiske informasjon, avhenger sikkerheten i det forholdet av interne kontroller du ikke kan se utenfra.
For virksomheter er denne saken en påminnelse om å stille vanskelige spørsmål før og under en løsepengehendelse. Hvem i forhandlingsfirmaet har tilgang til forsikringsdetaljer og betalingsfullmakt? Finnes det interne kontroller som hindrer en enkelt ansatt i å kommunisere direkte med trusselaktører uten tilsyn? Blir samtaler loggført og gjennomgått? Dette er ikke spørsmål de fleste selskaper tenker på å stille midt i en krise, men de bør være en del av aktsomhetsvurderingen før et innbrudd skjer, ikke etterpå.
For enkeltpersoner er lærdommen mer indirekte, men fortsatt relevant. Når et selskap du handler med blir utsatt for et løsepengeangrep, er håndteringen av den hendelsen – inkludert hvem som har tilgang til dine kompromitterte data under forhandlingene – i stor grad utenfor din kontroll. Det er enda en grunn til å minimere hvor mye sensitiv personinformasjon du deler med én enkelt organisasjon i utgangspunktet, og til å bruke verktøy som passordbehandlere og flerfaktorautentisering slik at et enkelt innbrudd ikke kan spre seg til bredere kontokompromittering.
Tiltak for å ligge i forkant av innsiderisiko
Denne straffeutmålingen sender et tydelig signal om at innsidersvik under en løsepengehåndtering har alvorlige juridiske konsekvenser, men forebygging betyr mer enn straff i etterkant. Hvis din organisasjon samarbeider med hendelseshåndterings- eller forhandlingsfirmaer, insister på dokumenterte tilgangskontroller, uavhengig tilsyn med forhandlinger og tydelig kontraktsfestet ansvarlighet. Hvis du er en enkeltperson som er berørt av et innbrudd hos et selskap du stoler på, ta varsler på alvor, bytt gjenbrukte passord og overvåk kontoer tilknyttet den organisasjonen.
Martino-saken vil trolig bli sitert i årevis som et advarende eksempel innenfor løsepengeforhandlingsfeltet. For alle andre er den en nyttig påminnelse om at tillit i en krise må opptjenes og bekreftes, ikke antas.
