Pågripelsen av en kjent løsepengemegler, rapportert av Dark Reading, har reist et ubehagelig spørsmål for enhver organisasjon som noen gang har måttet planlegge for et brudd: hva skjer når personen du ansetter for å håndtere angriperne jobber for den andre siden? Saken er en påminnelse om at bakgrunnssjekk av løsepengemeglere for innsidertrusler hører hjemme i enhver hendelsesresponsplan, ikke bare i de tekniske kontrollene rundt den.

Kildeartikkelen rammer inn lærepunktet som et behov for sterkere tilsyn med leverandørprogrammer. Dette innlegget ser på hvordan forhandlinger fungerer, hva pågripelsen avslører, og hva små bedrifter og personvernbevisste brukere kan gjøre med det.

Hvordan løsepengeutpressing og forhandlinger faktisk fungerer

Når en bedrift rammes av løsepengevirus, er et av de første samtalene ofte til en profesjonell megler. Jobben deres er å kommunisere med angriperne, vurdere situasjonen og prøve å redusere skadene. De fungerer som en buffer mellom panikkslagne ofre og kriminelle som kan kreve betaling for å gjenopprette systemer eller holde stjålne data private.

Denne ordningen fungerer bare hvis offeret stoler fullt og helt på mellommannen. Megleren ser løsepengekravet, får vite hvilke data som ble tatt, og forstår ofte hvor mye offeret har råd til å betale og hvor raskt de trenger systemene tilbake. Ofre har vanligvis liten mulighet til å sjekke noe av dette uavhengig. De er i krise, har dårlig tid og er avhengige av meglerens ekspertise.

Utpressing blir også vanskeligere å håndtere. En global undersøkelse rapportert av The Register fant at 37 % av løsepengevirusangrep nå inkluderer personlige trusler, enten psykologiske eller fysiske. Etter hvert som presset på ofrene øker, øker også deres avhengighet av menneskene som veileder dem.

Hva meglerpågripelsen avslører om innsiderisiko

Det meste av sikkerhetsplanlegging fokuserer på utenforstående angripere og, i mindre grad, på ansatte. Tredjepartsleverandører behandles ofte som pålitelige som standard, spesielt spesialister som hentes inn under en krise. Pågripelsen viser svakheten i den antagelsen. En mellommann med tilgang til sensitive forhandlinger har en posisjon med enorm innflytelse, og hvis den personens interesser avviker fra klientens, vil klienten kanskje aldri få vite det.

Dette er ikke en rent hypotetisk bekymring. Relatert dekning på vpn.social beskriver hvordan en tidligere DigitalMint-megler fikk 70 måneder for en BlackCat-avtale, og en separat rapport dekker hvordan megler Martino ble dømt til 70 måneder for BlackCat-forbindelser. Disse artiklene dekker de konkrete saksdetaljene, og de understreker det bredere poenget: meglerforholdet avhenger av tillit som sjelden revideres.

Lærepunktet fra Dark Readings rapportering er ikke at alle meglere er mistenkelige. Det er at en leverandør med så mye tilgang fortjener samme gransking som enhver annen høyrisiko-innsider.

Hva ofre og deres data er eksponert for når en leverandør kompromitteres

Hvis en megler eller annen responsleverandør kompromitteres, eller handler mot klienten, kan eksponeringen strekke seg godt utover løsepengebeløpet selv. Basert på rollen en megler spiller, inkluderer bekymringsområdene:

  • Forhandlingsstrategi: offerets budsjett, tidsfrister og betalingsvillighet er alle synlige for mellommannen.
  • Detaljer om de stjålne dataene: meglere får vanligvis vite hva som ble tatt, noe som betyr noe for alle hvis personopplysninger var i disse filene.
  • Beslutningstaking: råd om hvorvidt man skal betale, utsette eller stå imot former utfallet for selskapet og for de berørte personene.
  • Kommunikasjon: hver melding til og fra angriperne går gjennom megleren.

For enkeltpersoner er risikoen indirekte, men reell. Kunder, pasienter og ansatte hvis data ligger i en kompromittert organisasjon har ingen innflytelse på hvilken leverandør som velges, men de bærer konsekvensene hvis valget går galt.

Hvordan vurdere leverandører for bruddrespons før du trenger dem

Det beste tidspunktet å evaluere en megler eller hendelsesresponsbedrift på er før et angrep, når du kan stille spørsmål rolig. Kildeartikkelen etterlyser sterkere tilsyn med leverandørprogrammer, og disse trinnene er en praktisk måte å anvende den ideen på. De er generell god praksis snarere enn krav hentet fra saken.

  1. Velg leverandørene dine på forhånd. Å velge en bedrift under press gir ikke rom for aktsomhetsvurdering. Bygg en forhåndsvurdert kortliste som en del av hendelsesresponsplanen din.
  2. Spør om interne kontroller. Hvordan vurderer bedriften sine egne ansatte? Hvem kan få tilgang til klientforhandlinger, og loggføres og gjennomgås denne tilgangen?
  3. Sett forventninger skriftlig. Kontrakter bør dekke konfidensialitet, interessekonflikter og avsløring av eventuelle relasjoner til trusselaktører eller andre parter.
  4. Ha et ekstra par øyne på beslutningene. Sørg for at din egen ledelse, juridiske rådgiver eller forsikringsselskap gjennomgår store valg i stedet for å overlate dem til én person.
  5. Begrens datadeling. Gi leverandører bare det de trenger, og før oversikt over hva de mottok.
  6. Gjennomgå forholdet regelmessig. Behandle responsleverandører som en del av tredjepartsrisikoprogrammet ditt, med periodiske kontroller i stedet for en engangsgodkjenning.

Hva dette betyr for deg

Hvis du driver en liten bedrift, har du kanskje ikke et dedikert sikkerhetsteam, noe som gjør leverandørtillit enda viktigere. Spør cyberforsikringsselskapet eller IT-leverandøren din hvilke responsbedrifter de samarbeider med, og finn ut hvordan disse bedriftene følges opp. Noen få spørsmål stilt nå koster langt mindre enn en dårlig beslutning tatt midt i en krise.

Hvis du er enkeltperson, er det praktiske tiltaket å begrense hva organisasjoner har om deg. Del bare dataene en tjeneste genuint trenger, bruk unike passord og flerfaktorautentisering, og følg med på bruddvarsler slik at du kan handle raskt hvis informasjonen din eksponeres. Du kan ikke vurdere en bedrifts hendelsesresponsleverandør, men du kan redusere skadene hvis noe går galt.

Viktige punkter

Pågripelsen av en kjent løsepengemegler er en påminnelse om at mellommenn kan utgjøre en innsiderisiko, og at bakgrunnssjekk av løsepengemeglere for innsidertrusler bør stå side om side med sikkerhetskopier og oppdateringer i beredskapsplanen din. Velg leverandører før en krise, still tøffe spørsmål om deres kontroller, og oppretthold uavhengig tilsyn med store beslutninger.

For konkrete saksdetaljer, les vår dekning av den dømte tidligere DigitalMint-megleren. For å se hvorfor leverandørtillit betyr enda mer når utpressing eskalerer, se undersøkelsen om personlige trusler i løsepengevirusangrep.