Zaufany insider staje się wspólnikiem

Gdy firma pada ofiarą ransomware, często zwraca się do wyspecjalizowanego negocjatora, by poprowadził delikatną rozmowę z atakującymi, gdzie stawka jest wysoka. Właśnie taką rolę pełnił 41-letni Angelo Martino w DigitalMint – firmie pomagającej organizacjom radzić sobie z incydentami ransomware i negocjować w ich imieniu płatności. Martino był angażowany w aktywnych sprawach naruszeń, zasiadając po tej stronie stołu, która miała chronić ofiary.

Zamiast tego, jak wynika z akt sądowych, Martino potajemnie współpracował z podmiotami stowarzyszonymi grupy ransomware BlackCat (znanej również jako ALPHV), jednej z bardziej znanych operacji wymuszeniowych ostatnich lat. Zamiast bronić interesów swoich klientów, rzekomo przekazywał atakującym poufne informacje z wnętrza negocjacji, które miał prowadzić w imieniu ofiar. Ta wewnętrzna wiedza podobno pomogła gangowi wyciągać większe płatności – według raportów schemat ten przyczynił się do wyciśnięcia około 75 milionów dolarów z organizacji-ofiar w wielu sprawach. Martino przyznał się do winy i został skazany na 70 miesięcy więzienia federalnego.

Jak schemat podważył negocjacje ransomware

Negocjacje ransomware istnieją, ponieważ firmy dotknięte atakiem często nie mają specjalistycznej wiedzy, by komunikować się z grupami przestępczymi, oceniać wiarygodność gróźb ani rozstrzygać, czy zapłacenie okupu jest w ogóle wskazane. Firmy takie jak DigitalMint mają działać jak zapora – wykorzystując swoje doświadczenie, by obniżać żądania, weryfikować możliwości odzyskania danych i chronić ofiary przed podwójnym wykorzystaniem.

Sprawa Martino wywraca ten model do góry nogami. Przekazując poufne szczegóły z trwających negocjacji – w tym wewnętrzne informacje o klientach, progi finansowe i stan przewagi ofiary – praktycznie wręczył podmiotom BlackCat podręcznik, którego potrzebowały, by wymusić maksymalne płatności. To głębokie nadużycie zaufania, nie tylko między Martino a jego pracodawcą, ale też między jego pracodawcą a każdym klientem, który zakładał, że zespół reagowania kryzysowego pracuje wyłącznie na ich rzecz.

Tego rodzaju wewnętrzna zmowa jest szczególnie niszcząca, ponieważ ofiary ransomware i tak znajdują się w trudnej sytuacji. Często są pod presją szybkiego podejmowania decyzji dotyczących wrażliwych danych, przestojów operacyjnych i ryzyka regulacyjnego. Przypadki takie jak zapłacony okup przez Instructure po naruszeniu Canvas pokazują, że organizacje czasem dochodzą do wniosku, iż zapłata jest najmniej szkodliwą dostępną opcją. Gdy negocjator, który podejmuje tę decyzję, ma finansowy interes, by działać przeciwko ofierze, cała kalkulacja uzasadniająca płatność zostaje wypaczona.

Dlaczego ta sprawa budzi większe obawy o prywatność firm

Konsekwencje dla prywatności wykraczają tu daleko poza bezpośrednie straty finansowe. Negocjacje ransomware zazwyczaj wiążą się z udostępnianiem wysoce wrażliwych materiałów: zakresu skradzionych danych, wewnętrznych ocen bezpieczeństwa, komunikacji zarządu oraz szczegółów dotyczących tego, ile firma jest skłonna zapłacić. Ofiary dzielą się tymi informacjami w przekonaniu, że pozostaną one w ściśle kontrolowanym kręgu zaufanych podmiotów reagujących.

Działania Martino pokazują, że sam ekosystem reagowania na incydenty może stać się punktem awarii. Nawet organizacje, które po naruszeniu robią wszystko prawidłowo – zatrudniają renomowane firmy, przestrzegają zalecanych protokołów i współpracują z organami ścigania – wciąż mogą mieć swoje dane i pozycję negocjacyjną podważone od wewnątrz. Przypomina to taktyki nacisku obserwowane w innych głośnych kampaniach wymuszeniowych, takich jak eskalacja stosowana, gdy ShinyHunters zdewastowali portale szkolne podczas kampanii okupu Canvas, gdzie atakujący opierali się na publicznym zawstydzeniu i przewadze płynącej z posiadanych danych, by wymusić rozwiązanie.

Co to oznacza dla Ciebie

Jeśli Twoja organizacja kiedykolwiek znajdzie się w sytuacji negocjowania z grupą ransomware, ta sprawa przypomina, że proces wyboru dostawcy zasługuje na taką samą kontrolę jak Twoje narzędzia cyberbezpieczeństwa. Pytaj potencjalne firmy negocjacyjne o wewnętrzne mechanizmy kontrolne, weryfikację pracowników oraz o to, w jaki sposób dane klientów są segmentowane i monitorowane podczas aktywnej sprawy. Domagaj się jasności co do tego, kto ma dostęp do szczegółów negocjacji i czy jakaś osoba dysponuje niesprawdzoną władzą nad komunikacją z atakującymi.

Dla osób fizycznych i mniejszych firm bez zasobów na dogłębną analizę dostawców przesłanie jest szersze: zminimalizuj wrażliwe dane, które w ogóle mogłyby zostać ujawnione. Solidne procedury tworzenia kopii zapasowych, segmentacja sieci i ograniczanie ilości danych osobowych lub finansowych przechowywanych w łatwo dostępnych systemach zmniejszają przewagę, jaką grupa ransomware – lub skompromitowany insider – może nad Tobą zdobyć.

Kluczowe wnioski

  • Weryfikuj firmy zajmujące się reagowaniem na incydenty i negocjacjami z taką samą rzetelnością, z jaką podchodzisz do każdego dostawcy przetwarzającego wrażliwe dane.
  • Pytaj, jak firmy negocjacyjne wewnętrznie monitorują i audytują dostęp pracowników podczas aktywnych spraw ransomware.
  • Zmniejszaj ilość wrażliwych danych przechowywanych w systemach podatnych na kompromitację, ponieważ mniejsza ekspozycja to mniejsza przewaga dla atakujących lub insiderów.
  • Traktuj negocjacje ransomware jako decyzję wymagającą własnego nadzoru, a nie czarną skrzynkę obsługiwaną w całości przez stronę trzecią.

Sprawa Martino to rzadki, ale poważny przykład zdrady ze strony insidera w branży reagowania na ransomware. Nie oznacza to, że firmom negocjacyjnym nie można generalnie ufać, ale podkreśla, że zaufanie powinno być weryfikowane, a nie zakładane – zwłaszcza gdy w grę wchodzą najwrażliwsze szczegóły naruszenia w firmie.