En betrodd forhandler jobbet for angriperne
Når et selskap rammes av løsepengevirus, går en av de første telefonene ofte til en profesjonell forhandler – en som hyres inn for å presse ned løsepengekravet, kjøpe tid og fungere som en buffer mellom panikkslagne ledere og kriminelle hackere. Hele dette systemet er avhengig av tillit. En fersk føderal dom viser hva som skjer når den tilliten brytes fra innsiden.
En løsepengeforhandler er dømt til 70 måneders føderalt fengsel etter at påtalemyndigheten fant at han i hemmelighet konspirerte med løsepengegruppen BlackCat (også kjent som ALPHV) samtidig som han hevdet å representere ofrene. I stedet for å beskytte selskapene som hyret ham, skal han ha gitt angriperne sensitiv informasjon, blant annet om klienters forsikringsdekning og betalingsgrenser, noe som ga de kriminelle overtak til å kreve mer penger og legge press mer effektivt. Som del av dommen inndras også kryptovaluta knyttet til opplegget.
Saken identifiserte minst fem offerorganisasjoner, deriblant et medisinsk utstyrsselskap i Florida som først fikk et løsepengekrav på 10 millioner dollar før det til slutt betalte rundt 1,2 millioner, et legemiddelselskap i Maryland og et legekontor. Hele omfanget av opplegget skal også ha krysset intern strid mellom rivaliserende løsepengegjenger, der en gruppe truet med å avsløre den andres virksomhet – en påminnelse om at selv kriminelle økosystemer ikke er immune mot indre konflikter og svik.
Hvordan opplegget undergravde ofrene
Løsepengeforhandlere inntar en unikt sårbar posisjon. For å gjøre jobben sin trenger de vanligvis tilgang til informasjon de færreste selskaper ville overlate til en utenforstående: hvor mye penger som er tilgjengelig, hva cyberforsikringen faktisk dekker, interne tidsfrister og hvor desperat ledelsen er etter å løse situasjonen i det stille. Denne informasjonen skal forbli konfidensiell og kun brukes for å ivareta klientens interesser under forhandlingene.
Når en forhandler i stedet gir denne informasjonen videre til angriperne, er hele hendelsesresponsprosessen kompromittert før den i det hele tatt har begynt. Ofrene tror de forhandler fra en posisjon med informert strategi, mens motparten i realiteten allerede kjenner deres økonomiske tak. Denne ubalansen forklarer trolig hvorfor kravene i disse sakene eskalerte så aggressivt, og hvorfor det medisinske utstyrsselskapets første krav var åtte ganger høyere enn det de til slutt betalte.
Dette er ikke en enkeltstående hendelse. Som vi rapporterte i vår dekning av en løsepengeforhandler i Florida dømt i en separat amerikansk utpresningssak, har politiet nå identifisert flere forhandlere knyttet til det samme BlackCat-tilknyttede utpresningsnettverket. Mønsteret tyder på at dette ikke var et engangssvik, men en bevisst, i det minste delvis organisert innsats for å utnytte hendelsesresponsbransjen innenfra.
Personvernkonsekvenser for ofre for datainnbrudd
Personvernets ringvirkninger strekker seg langt utover selve løsepengebeløpene. Medisinske utstyrsselskaper, legemiddelfirmaer og legekontorer håndterer rutinemessig sensitive pasient- og helseopplysninger. Når en forhandler i hemmelighet motarbeider et offers interesser, reiser det reelle spørsmål om hvilken annen sensitiv informasjon som kan ha blitt eksponert, mishåndtert eller brukt som ytterligere pressmiddel under utpresningsprosessen. Selskaper i helsevesenet og andre regulerte sektorer er allerede forpliktet til å beskytte pasientdata under strenge personvernkrav, og et innsidesvik under et løsepengeangrep kompliserer alle nedstrøms beslutninger, inkludert om og hvordan de berørte personene skal varsles.
Det peker også på et blindpunkt mange organisasjoner ikke vurderer før det er for sent: Leverandører av hendelsesrespons, inkludert forhandlere, digitale etterforskningsteam og til og med juridisk bistand som hentes inn under et innbrudd, blir sjelden vurdert med samme grundighet som annen tredjepartsrisiko. Et selskap kan utføre omfattende bakgrunnssjekk på en skyleverandør eller programvareleverandør, men likevel hente inn en forhandler i en krisesituasjon basert mest på omdømme eller hastverk.
Hva dette betyr for deg
Hvis organisasjonen din noen gang trenger å hyre en løsepengeforhandler eller et hendelsesresponsteam, er denne saken en grunn til å roe ned, ikke få panikk. Verifiser legitimasjon uavhengig i stedet for å utelukkende stole på henvisninger fra forsikringsselskapet eller én enkelt kontaktperson. Still direkte spørsmål om hvordan klientinformasjon håndteres, lagres og deles, og insister på dokumenterte grenser for hva forhandleren kan og ikke kan avsløre. Hvis cyberforsikringspolisen din pålegger en bestemt leverandørliste, gå gjennom denne listen proaktivt, før et angrep skjer, i stedet for å stresse under en pågående hendelse når både overtak og dømmekraft er svekket.
For enkeltpersoner er lærdommen enklere, men fortsatt viktig: Hvis du får beskjed om at en helsetjenesteleverandør, et apotek eller et medisinsk utstyrsselskap du har hatt kontakt med har opplevd et løsepengeangrep, ta varselet på alvor selv om selskapet sier at dataeksponeringen var begrenset. Saker som dette viser at den interne håndteringen av et innbrudd kan være langt mer rotete enn offentlige uttalelser gir inntrykk av.
Oppsummering
Denne dommen er et sjeldent, konkret eksempel på hvordan rollen som løsepengeforhandler, som i sin helhet bygger på konfidensialitet og tillit, kan våpenliggjøres mot nettopp de organisasjonene den skal beskytte. Vurder leverandørene av hendelsesrespons før en krise inntreffer, bygg tydelige grenser for informasjonsdeling inn i enhver kontrakt, og husk at en løsepengeforhandlers overtak avhenger av at hemmelighold forblir hemmelig på din side, ikke angriperens.
