Co się wydarzyło: Negocjator, który pracował na obie strony

Kiedy firma pada ofiarą ransomware, jednym z pierwszych telefonów, jakie wykonuje, jest kontakt z negocjatorem: specjalistą, któremu ufa się, że usiądzie pomiędzy spanikowaną ofiarą a gangiem przestępczym, pracując nad zmniejszeniem żądania okupu lub zyskaniem czasu na odzyskanie danych. Ta relacja opiera się całkowicie na zaufaniu. Według doniesień Malwarebytes, jeden z takich negocjatorów złamał to zaufanie w najbardziej destrukcyjny sposób. Zamiast pomagać ofiarom odpierać ataki gangu ransomware BlackCat, potajemnie przekazywał przestępcom informacje z negocjacji, które rzekomo prowadził w imieniu ofiar.

W rezultacie powstał scenariusz wewnętrznego zagrożenia ze strony negocjatora ransomware, który kosztował ofiary miliony. Zamiast działać jak zapora między firmą a napastnikiem, negocjator stał się w istocie drugim napastnikiem – z uprzywilejowanym dostępem do limitów finansowych, strategii prawnej i gotowości ofiary do zapłaty. To jeden z najgorszych możliwych scenariuszy niepowodzenia reagowania na incydent, ponieważ zamienia samo zabezpieczenie, za które organizacje płacą, w źródło zagrożenia.

Jak gangi Ransomware-as-a-Service rekrutują zaufanych pośredników

BlackCat, znany również jako ALPHV, działa jako grupa ransomware-as-a-service (RaaS), co oznacza, że udostępnia swoje złośliwe oprogramowanie i infrastrukturę afiliantom, którzy przeprowadzają ataki i dzielą się zyskami. Ten model biznesowy od zawsze opierał się na budowaniu sieci osób skłonnych do współpracy za część łupu – od pośredników początkowego dostępu sprzedających skradzione dane uwierzytelniające po afiliantów, którzy wdrażają właściwy ładunek szyfrujący. Skompromitowany lub współpracujący negocjator jest po prostu kolejnym logicznym rozszerzeniem tej sieci: kimś osadzonym w legalnym ekosystemie reagowania na incydenty, kto może dzielić się informacjami wywiadowczymi, których gang nigdy nie zdobyłby samodzielnie.

Właśnie dlatego ta sprawa ma znaczenie wykraczające poza sam BlackCat. Gangi ransomware coraz lepiej rozumieją, że najsłabszym ogniwem reakcji na naruszenie nie zawsze jest zapora sieciowa czy niezałatany serwer. Może to być człowiek – a konkretnie osoba, którą ofiara postanowiła obdarzyć zaufaniem w najbardziej stresującym momencie incydentu bezpieczeństwa. Ta sama zasada wykorzystywania zaufania i dostępu powtarza się w całym krajobrazie ransomware i wymuszeń danych, w tym w incydentach takich jak naruszenie systemów HR Rady Europy przez ShinyHunters, gdzie atakujący ponownie pokazali, jak skutecznie grupy przestępcze potrafią wykorzystać wewnętrzny dostęp, gdy tylko znajdą sposób, by się do niego dostać.

Dlaczego to zwiększa powierzchnię ataku dla ofiar naruszeń

Większość organizacji myśli o ryzyku ransomware w kategoriach własnej sieci: punktów końcowych, serwerów, kopii zapasowych, szkoleń pracowników. Znacznie mniej myśli o ryzyku, jakie wprowadzają dostawcy i konsultanci, których angażują po rozpoczęciu ataku. A przecież negocjator, podobnie jak śledczy kryminalistyczny czy doradca ds. naruszeń, często ma dostęp do jednych z najbardziej wrażliwych informacji, jakie firma posiada w czasie kryzysu: wysokości okupu, jaki ofiara jest gotowa zapłacić, jakie dane faktycznie zostały skradzione i jak bardzo organizacja jest zdesperowana, by uniknąć publicznego ujawnienia.

Gdy ten dostęp jest nadużywany, szkody są spotęgowane. Ofiary nie tylko tracą pieniądze na sam okup – tracą też jakąkolwiek przewagę negocjacyjną, ponieważ gang zna ich granice, zanim rozmowy w ogóle się rozpoczną. Ta sprawa przypomina, że łańcuch dostaw reagowania na incydenty zasługuje na taką samą kontrolę jak każda inna relacja z dostawcą, a zaufania w kryzysie nigdy nie należy zakładać tylko dlatego, że ktoś ma odpowiedni tytuł zawodowy.

Jak weryfikować specjalistów od reagowania na incydenty i negocjatorów zanim wybuchnie kryzys

Najlepszy moment na weryfikację negocjatora ransomware lub firmy reagowania na incydenty to zanim dojdzie do ataku, a nie w jego trakcie, gdy presja czasu niemal uniemożliwia staranne sprawdzenie. Organizacje mogą podjąć kilka konkretnych kroków:

  • Potwierdź doświadczenie firmy i poproś o referencje od poprzednich klientów, którzy przeszli podobne incydenty.
  • Zapytaj, jak firma weryfikuje własny personel, w tym sprawdzanie przeszłości i wewnętrzne kontrole dostępu do szczegółów negocjacji.
  • Nalegaj na udokumentowane, audytowalne logi komunikacji podczas każdej negocjacji, zamiast polegać wyłącznie na jednej osobie kontaktowej.
  • Zaangażuj zewnętrznego radcę prawnego lub drugiego doradcę bezpieczeństwa do niezależnej weryfikacji kluczowych decyzji, takich jak wysokość okupu czy moment płatności.
  • Zbuduj te relacje z dostawcami i umowy z wyprzedzeniem, jako część umowy retencyjnej na reagowanie na incydenty, zamiast gorączkowo szukać pomocy w środku naruszenia.

Co to oznacza dla Ciebie

Jeśli Twoja organizacja ma plan reagowania na ransomware, ta sprawa jest dobrą okazją, by przyjrzeć się ponownie, kto faktycznie jest w tym planie i jak dobrze go znasz. Wewnętrzne zagrożenie ze strony negocjatora ransomware jest rzadkie, ale konsekwencje są na tyle poważne, że warto włożyć niewielki wysiłek w wstępną weryfikację. Ta sama logika dotyczy każdej strony trzeciej z uprzywilejowanym dostępem podczas naruszenia: śledczych kryminalistycznych, radców prawnych i agencji PR – wszyscy oni zasługują na taką samą kontrolę, jaką zastosowalibyście wobec nowego dostawcy oprogramowania.

Kluczowe wnioski

  • Weryfikuj firmy reagowania na incydenty i negocjacyjne przed kryzysem, w tym sprawdzanie przeszłości personelu i referencje.
  • Wymagaj udokumentowanych, audytowalnych logów wszystkich negocjacji dotyczących okupu, zamiast polegać na jednej zaufanej osobie.
  • Traktuj zewnętrznych reagujących jako część swojej powierzchni ataku, a nie tylko obrony.
  • Bądź na bieżąco z tym, jak grupy ransomware i wymuszeń wykorzystują zaufanie na każdym etapie naruszenia – od początkowego dostępu po końcowe negocjacje.