Były negocjator DigitalMint skazany na 70 miesięcy za współpracę z BlackCat

Zaufany insider obrócił się przeciwko własnym klientom

Gdy firma pada ofiarą ransomware, zwykle wzywa negocjatora – osobę, której zadaniem jest komunikacja z atakującymi, ocena sytuacji i próba ograniczenia szkód. Ta relacja opiera się wyłącznie na zaufaniu. Były negocjator z firmy zajmującej się reagowaniem na incydenty, DigitalMint, właśnie pokazał, co się dzieje, gdy to zaufanie zostaje złamane.

Angelo Martino (41 l.) został skazany na 70 miesięcy więzienia federalnego za współpracę z grupą ransomware BlackCat (znaną też jako ALPHV) podczas pełnienia obowiązków negocjatora, który rzekomo reprezentował interesy ofiar. Zamiast wyłącznie bronić swoich klientów, Martino wykorzystywał swoją pozycję, by przekazywać informacje z powrotem do samych przestępców, przed którymi jego klienci próbowali się bronić – donosi Help Net Security. Sprawa, szerzej opisana w naszym wcześniejszym tekście 70-miesięczny wyrok dla negocjatora DigitalMint, rzuca światło na zagrożenie, o którym większość ofiar ransomware nigdy by nie pomyślała: osoba wynajęta do ich ochrony.

Dlaczego negocjatorzy ransomware mają dostęp do tak wielu wrażliwych danych

Negocjatorzy ransomware zajmują wyjątkowo uprzywilejowaną pozycję. Aby skutecznie wykonywać swoją pracę, zazwyczaj potrzebują dostępu do informacji, których większość pracowników zaatakowanej organizacji nigdy nie widzi: zakresu naruszenia, tego, jakie dane zostały skradzione, wysokości posiadanego ubezpieczenia cybernetycznego oraz tego, ile firma realnie jest skłonna lub w stanie zapłacić. Dla atakującego te informacje są na wagę złota. Znajomość limitów ubezpieczenia ofiary pozwala na przykład grupie ransomware skalibrować żądanie okupu tak, by wycisnąć maksymalną możliwą zapłatę.

Właśnie to sprawia, że sprawa Martino jest istotna z punktu widzenia prywatności. Nie chodziło o zewnętrznego hakera włamującego się do systemów firmy. To insider – osoba sprowadzona właśnie ze względu na szczególny dostęp, jakiego wymagała jej rola – rzekomo wykorzystała ten dostęp przeciwko tym, którzy go zatrudnili. Firmy oferujące reagowanie na incydenty i negocjacje istnieją, ponieważ większość organizacji nie ma specjalistycznych umiejętności, by samodzielnie poradzić sobie z kryzysem ransomware. Korzystanie z zewnętrznych ekspertów jest rozsądne i często konieczne, ale oznacza również, że ofiary obdarzają zaufaniem podmiot trzeci, mając minimalną możliwość niezależnego zweryfikowania, czy to zaufanie jest uzasadnione.

Szerszy ekosystem ransomware już teraz zmusza ofiary do trudnych kompromisów w sferze prywatności. Zapłacenie okupu nie gwarantuje, że skradzione dane zostaną usunięte, a prowadzenie negocjacji w dobrej wierze zakłada, że zarówno druga strona, jak i wszyscy, którzy ci doradzają, również działają w dobrej wierze. Taka sprawa jak ta podważa to założenie w sposób, który może sprawić, że ofiary staną się bardziej niechętne do pełnego ujawniania informacji tym samym profesjonalistom, którzy mają im pomóc – potencjalnie spowalniając reakcję na incydent w momencie, gdy ma to największe znaczenie.

Co to oznacza dla Ciebie

Większość czytelników nigdy osobiście nie zatrudni negocjatora ransomware, ale podstawowa lekcja ma zastosowanie znacznie szerzej: zewnętrzni dostawcy mający dostęp do twoich wrażliwych danych są tylko tak godni zaufania, jak najsłabsze ogniwo wewnątrz ich organizacji. Niezależnie od tego, czy jest to kancelaria prawna, wykonawca reagowania na incydenty, dostawca usług chmurowych czy jakakolwiek firma przetwarzająca twoje dane osobowe lub finansowe – bezpieczeństwo tej relacji zależy od wewnętrznych mechanizmów kontrolnych, których nie możesz zobaczyć z zewnątrz.

Dla firm ta sprawa jest przypomnieniem, by zadawać trudne pytania przed incydentem ransomware i w jego trakcie. Kto w firmie negocjacyjnej ma dostęp do szczegółów ubezpieczenia i upoważnienia do płatności? Czy istnieją wewnętrzne mechanizmy kontrolne uniemożliwiające pojedynczemu pracownikowi bezpośrednie komunikowanie się z cyberprzestępcami bez nadzoru? Czy rozmowy są rejestrowane i weryfikowane? To pytania, o których większość firm nie myśli w środku kryzysu, ale powinny one stanowić część due diligence jeszcze przed wystąpieniem naruszenia, a nie dopiero po nim.

Dla osób fizycznych wniosek jest bardziej pośredni, ale wciąż istotny. Gdy firma, z którą prowadzisz interesy, pada ofiarą ataku ransomware, sposób obsługi tego incydentu – w tym to, kto ma dostęp do twoich skompromitowanych danych podczas negocjacji – w dużej mierze pozostaje poza twoją kontrolą. To kolejny powód, by od samego początku ograniczać ilość wrażliwych danych osobowych udostępnianych pojedynczej organizacji oraz korzystać z narzędzi takich jak menedżery haseł i uwierzytelnianie wieloskładnikowe, by pojedyncze naruszenie nie mogło przerodzić się w kaskadowe przejęcie kolejnych kont.

Wnioski, jak wyprzedzać ryzyko insidera

Ten wyrok wysyła jasny sygnał, że zdrada ze strony insidera podczas reagowania na ransomware niesie za sobą poważne konsekwencje prawne, ale zapobieganie znaczy więcej niż karanie po fakcie. Jeśli twoja organizacja współpracuje z firmami zajmującymi się reagowaniem na incydenty lub negocjacjami, domagaj się udokumentowanych mechanizmów kontroli dostępu, niezależnego nadzoru nad negocjacjami i jasnej odpowiedzialności kontraktowej. Jeśli jesteś osobą fizyczną dotkniętą naruszeniem w firmie, której ufasz, traktuj poważnie powiadomienia, zmień ponownie używane hasła i monitoruj konta powiązane z tą organizacją.

Sprawa Martino prawdopodobnie przez lata będzie przytaczana jako ostrzegawczy przykład w środowisku negocjatorów ransomware. Dla wszystkich pozostałych jest to użyteczne przypomnienie, że zaufanie w sytuacji kryzysowej trzeba sobie zasłużyć i zweryfikować, a nie zakładać z góry.