Zaufany pośrednik staje się wspólnikiem przestępcy

Mężczyzna z Florydy, który pracował jako negocjator okupu, został skazany za pomaganie znanej grupie ransomware w wymuszaniu okupów od amerykańskich firm, jak podaje TechCrunch. Jest on trzecim negocjatorem powiązanym z tym procederem, który trafił do więzienia, co pokazuje, jak głęboko niektórzy tak zwani specjaliści od reagowania na incydenty zaangażowali się w przestępcze działania, z którymi mieli rzekomo walczyć.

Negocjatorzy okupów zazwyczaj pełnią legalną funkcję. Gdy firma pada ofiarą ransomware, jej wewnętrzny dział IT lub zewnętrzni prawnicy często angażują specjalistę, który komunikuje się z atakującymi, weryfikuje możliwość odszyfrowania danych i stara się obniżyć kwotę okupu. Negocjatorzy ci znajdują się w osobliwej sytuacji pośredniej: muszą znać się na forach przestępczych, kanałach płatności kryptowalutowych i drogach komunikacji w dark webie na tyle, by działać skutecznie, ale ich zadaniem jest stać twardo po stronie ofiary.

Ta sprawa pokazuje, co się dzieje, gdy ta granica zostaje przekroczona. Zamiast działać wyłącznie na rzecz firm płacących za jego usługi, skazany negocjator rzekomo współpracował bezpośrednio z gangiem ransomware, pomagając kierować ofiary w stronę uiszczenia okupu, a tym samym wspierał przestępców w czerpaniu zysków z wymuszenia.

Jak gangi ransomware wykorzystują narzędzia anonimowości

Działania ransomware opierają się na warstwowym ekosystemie narzędzi anonimowości i szyfrowania, które pierwotnie stworzono w uzasadnionych celach ochrony prywatności. Grupy przestępcze kierują komunikację przez sieci anonimizujące, używają szyfrowanych wiadomości do koordynacji ze współpracownikami i żądają płatności w kryptowalutach właśnie dlatego, że trudniej je wyśledzić niż tradycyjne transakcje bankowe.

Skompromitowany lub współdziałający negocjator dodaje kolejną warstwę zaciemnienia. Ponieważ od negocjatorów oczekuje się kontaktów z podmiotami stanowiącymi zagrożenie w ramach ich pracy, ich komunikacja może wtopić się w zwykłe działania związane z reagowaniem na incydenty, co utrudnia ofiarom, ubezpieczycielom i organom ścigania wykrycie zmowy. Ta sprawa przypomina, że te same technologie ochrony prywatności i szyfrowania, które chronią dziennikarzy, aktywistów i zwykłych użytkowników przed inwigilacją, mogą być również nadużywane przez złoczyńców chcących ukryć swoje ślady. Narzędzia same w sobie są neutralne; liczy się intencja ich użycia.

Dla zwykłych użytkowników VPN i narzędzi ochrony prywatności to rozróżnienie jest istotne. Używanie szyfrowania lub anonimizacji do ochrony własnych danych osobowych to nie to samo, co wykorzystywanie tych narzędzi do ułatwiania wymuszeń. Renomowane usługi ochrony prywatności istnieją po to, by zabezpieczać legalną komunikację i dane, a nie by chronić przedsięwzięcia przestępcze. Każdy, kto zostaje wynajęty do reprezentowania organizacji będącej ofiarą w trakcie incydentu bezpieczeństwa, ma obowiązek działać w interesie tej organizacji, a nie po cichu służyć atakującym.

Efekt domina wymuszeń ransomware

Ataki ransomware rzadko pozostają ograniczone do jednej firmy. Organizacje będące ofiarami często przechowują wrażliwe dane klientów, a gdy negocjacje zawodzą lub płatności nie powstrzymują wycieku, dane te mogą zostać upublicznione. Naruszenie danych w Humana, które ujawniło dane zdrowotne w sześciu stanach pokazuje, jak pojedynczy incydent bezpieczeństwa w jednej firmie może rozprzestrzenić się, dotykając klientów w wielu stanach, niezależnie od źródła naruszenia. Dokumentacja medyczna, dane finansowe i identyfikatory osobowe to dokładnie ten rodzaj danych, których ujawnieniem grożą gangi ransomware, jeśli okup nie zostanie zapłacony, dlatego regulatorzy i ustawodawcy coraz częściej koncentrują się na tym, jak firmy obchodzą się z wrażliwymi informacjami zarówno przed naruszeniem, jak i po nim.

Presja regulacyjna rośnie. Stany podjęły działania w celu zaostrzenia przepisów dotyczących prywatności danych, co widać na przykładzie Ustawy o prywatności danych i inwigilacji online stanu Vermont, a po głośnych naruszeniach następują pozwy, w tym trwające starania w ramach pozwu dotyczącego danych genetycznych 23andMe. Przypadki te pokazują, że skutki incydentu ransomware lub naruszenia danych wykraczają daleko poza początkowy atak, dotykając sfery prawnej, regulacyjnej i zaufania konsumentów przez wiele lat.

Co to oznacza dla Ciebie

Jeśli Twoja organizacja kiedykolwiek padnie ofiarą ransomware, ogromne znaczenie ma dokładne sprawdzenie, kogo angażujesz do pomocy. Negocjator, firma zajmująca się reagowaniem na incydenty lub konsultant powinni mieć możliwe do zweryfikowania referencje, jasno ujawnione potencjalne konflikty interesów i przejrzysty proces komunikacji z atakującymi. Zadawaj konkretne pytania o ich osiągnięcia i o to, czy mają jakiekolwiek powiązania finansowe związane z samymi płatnościami okupu.

Dla użytkowników indywidualnych nauka płynie szersza: narzędzia ochrony prywatności, takie jak VPN i szyfrowane komunikatory, istnieją po to, by chronić Twoje dane i komunikację przed niepożądaną inwigilacją, a nie po to, by umożliwiać wymuszenia. Zrozumienie tego rozróżnienia pomaga oddzielić legalne dążenie do prywatności od przestępczego nadużycia, i warto o tym pamiętać, gdy następnym razem nagłówki prasowe będą te dwie kwestie mylić.

Kluczowe wnioski

  • Dokładnie sprawdzaj każdego negocjatora ransomware lub firmę zajmującą się reagowaniem na incydenty, zanim zaangażujesz ich podczas aktywnego naruszenia.
  • Pamiętaj, że gangi ransomware polegają na narzędziach szyfrowania i anonimowości stworzonych do legalnych celów ochrony prywatności, a ich nadużycie nie dyskredytuje samych narzędzi.
  • Bądź na bieżąco z tym, jak incydenty ransomware mogą ujawniać dane osobowe, i monitoruj swoje konta, jeśli dowiesz się, że firma przechowująca Twoje informacje doznała naruszenia.
  • Wspieraj silniejsze przepisy dotyczące prywatności danych na poziomie stanowym i federalnym, ponieważ kształtują one sposób, w jaki firmy muszą chronić i ujawniać wrażliwe informacje po incydencie.

To skazanie przypomina, że walka z ransomware wykracza poza zabezpieczenia techniczne. Zależy również od uczciwości ludzi i firm, którym ofiary ufają, że pomogą im przetrwać kryzys.