Negocjator ds. ransomware ma być tą jedną osobą, która w pokoju walczy po stronie ofiary. To zaufanie zostało złamane w sprawie Angelo Martino, byłego negocjatora z firmy reagowania na incydenty DigitalMint, który został skazany na 70 miesięcy więzienia federalnego za potajemne przekazywanie poufnych informacji o klientach gangowi ransomware BlackCat – tym samym atakującym, przeciwko którym miał prowadzić negocjacje.

Wyrok zamyka jeden z bardziej niepokojących rozdziałów w najnowszej historii ransomware: przypadek, w którym rzekomy obrońca grał po obu stronach stołu negocjacyjnego.

Zaufany insider, który stał się zdrajcą

Gdy firma pada ofiarą ransomware, zatrudnienie profesjonalnego negocjatora to często jeden z pierwszych kroków, zaraz po powiadomieniu organów ścigania i prawników. Tych specjalistów angażuje się właśnie dlatego, że ofiary są spanikowane, przytłoczone technicznie i zdesperowane, by uniknąć dalszych szkód. Dobry negocjator ma za zadanie kupić czas, odeprzeć wygórowane żądania i ostatecznie obniżyć okup do poziomu, który ofiara jest w stanie przetrwać, jeśli w ogóle dojdzie do zapłaty.

Rola Martino w DigitalMint umieściła go dokładnie w tej relacji. Jak wynika z wcześniejszych doniesień, wykorzystywał on dostęp do danych klientów, w tym informacji o presji, pod jaką znajdowały się ofiary i ile mogłyby być skłonne zapłacić, by pomóc operatorom BlackCat w wyciąganiu większych okupów, a nie mniejszych. W praktyce odwrócił rolę negocjatora do góry nogami, pracując nad tym, by zmaksymalizować szkodę wyrządzaną tym samym klientom, którzy zatrudnili go dla ochrony.

Jak wcześniej informował vpn.social, ten układ opierał się w całości na założeniu, że lojalność negocjatora jest skierowana tylko w jedną stronę. Postępowanie Martino złamało to założenie w sposób, który wstrząsnął branżą reagowania na incydenty.

Jak działał system podwójnego agenta

Mechanizm tego procederu był prosty, ale niszczycielski. Przekazując poufne szczegóły, informacje o ubezpieczeniu, strategię negocjacyjną czy to, ile organizacja-ofiara mogła realistycznie zapłacić, Martino dawał atakującym BlackCat niesprawiedliwą przewagę w każdych negocjacjach, których się dotknął. Zamiast malejących żądań okupu pod wpływem jego rzekomego wsparcia, były one po cichu konstruowane tak, by rosły.

Nie był to też odosobniony incydent. Pokrewne relacje z tej sprawy, w tym doniesienia o szerszym układzie negocjatorów BlackCat, zauważają, że Martino nie był jedynym negocjatorem zamieszanym w tego rodzaju działania związane z tą samą operacją ransomware. Osobna sprawa dotycząca negocjatora z Florydy skazanego w pokrewnym procederze wymuszeniowym podkreśla, że nie było to jednorazowe potknięcie pojedynczej złej jednostki, lecz schemat wykorzystujący strukturalne zaufanie wbudowane w branżę reagowania na incydenty.

Wyrok 70 miesięcy odzwierciedla powagę, z jaką federalni prokuratorzy potraktowali tę zdradę: nie było to zwykłe zaniedbanie ani awaria bezpieczeństwa – to insider celowo działający przeciwko ludziom, którzy powierzyli mu swoją wiarę i swoje wrażliwe dane.

Co to oznacza dla Ciebie

Dla większości osób ta sprawa może wydawać się odległa od codziennego życia, ale dotyka czegoś, na czym każdemu powinno zależeć: jak wiele zaufania pokładamy w pośrednikach, którzy w czasie kryzysu obracają naszymi najbardziej wrażliwymi informacjami. Negocjatorzy ransomware siedzą w wyjątkowo uprzywilejowanej pozycji. Widzą wewnętrzne dane finansowe, luki w zabezpieczeniach i komunikację, których organizacja-ofiara nigdy nie chciałaby ujawnić.

Gdy to zaufanie zostaje nadużyte, skutki wykraczają poza bezpośrednio poszkodowane firmy. Pracownicy, klienci i każdy, czyje dane osobowe znajdowały się w naruszonych systemach, może zapłacić za to podwójną cenę: raz przez sam atak ransomware, a drugi – poprzez proces negocjacyjny, który potajemnie działał na ich niekorzyść.

Ta sprawa przypomina, że prywatność i bezpieczeństwo w trakcie incydentu ransomware nie kończą się z chwilą zatrudnienia specjalisty. Nadzór, weryfikacja i niezależna kontrola postępowania negocjatora liczą się tak samo, jak początkowa reakcja na atak.

Praktyczne wnioski

Jeśli twoja organizacja kiedykolwiek znajdzie się w sytuacji negocjowania z operatorami ransomware lub po prostu chcesz zrozumieć, jak przebiegają takie incydenty, ze sprawy Martino płynie kilka lekcji:

  • Starannie sprawdzaj firmy reagowania na incydenty i pytaj, w jaki sposób monitorują one własny personel pod kątem konfliktu interesów podczas aktywnych negocjacji.
  • Domagaj się przejrzystości co do tego, kto ma dostęp do wrażliwych szczegółów negocjacji, w tym limitów finansowych i informacji ubezpieczeniowych.
  • Rozważ niezależny nadzór lub drugi punkt kontaktowy, gdy w grę wchodzą duże żądania okupu, zamiast polegać wyłącznie na relacji jednego negocjatora.
  • Bądź na bieżąco z tym, jak faktycznie działają negocjacje ransomware, ponieważ zrozumienie motywacji pomaga organizacjom zadawać lepsze pytania przed atakiem, a nie dopiero po nim.

Wyrok na negocjatora ransomware za zdradę własnych klientów to skrajny przypadek, ale podkreśla prostą prawdę: zaufanie w kryzysie trzeba zapracować i zweryfikować, a nie zakładać z góry.