Aresztowanie znanego negocjatora ransomware, opisane przez Dark Reading, postawiło niewygodne pytanie przed każdą organizacją, która kiedykolwiek musiała planować reakcję na naruszenie bezpieczeństwa: co się dzieje, gdy osoba, którą zatrudniasz do negocjacji z atakującymi, pracuje dla drugiej strony? Ta sprawa jest wyraźnym przypomnieniem, że weryfikacja zagrożeń wewnętrznych związanych z negocjatorem ransomware powinna być częścią każdego planu reagowania na incydenty, a nie tylko technicznych mechanizmów kontrolnych wokół niego.

Artykuł źródłowy przedstawia tę lekcję jako potrzebę silniejszego nadzoru nad programami dostawców. Ten wpis przygląda się, jak przebiegają negocjacje, co ujawnia aresztowanie i co małe firmy oraz użytkownicy dbający o prywatność mogą z tym zrobić.

Jak naprawdę działają wymuszenia ransomware i negocjacje

Gdy firma zostaje zaatakowana ransomware, jednym z pierwszych telefonów jest często kontakt z profesjonalnym negocjatorem. Jego zadaniem jest komunikacja z atakującymi, ocena sytuacji i próba zmniejszenia szkód. Działa jako bufor między spanikowanymi ofiarami a przestępcami, którzy mogą żądać zapłaty za przywrócenie systemów lub zachowanie skradzionych danych w poufności.

Taki układ działa tylko wtedy, gdy ofiara całkowicie ufa pośrednikowi. Negocjator widzi żądanie okupu, dowiaduje się, jakie dane zostały skradzione, i często rozumie, ile ofiara może sobie pozwolić zapłacić oraz jak pilnie potrzebuje systemów z powrotem. Ofiary zazwyczaj mają niewielką możliwość samodzielnej weryfikacji czegokolwiek. Są w kryzysie, brakuje im czasu i polegają na wiedzy negocjatora.

Zarządzanie wymuszeniami staje się też trudniejsze. Ogólnoświatowe badanie opisane przez The Register wykazało, że 37% ataków ransomware obejmuje obecnie groźby osobiste, zarówno psychiczne, jak i fizyczne. W miarę jak presja na ofiary rośnie, rośnie też ich poleganie na osobach, które je prowadzą.

Co aresztowanie negocjatora ujawnia o ryzyku wewnętrznym

Większość planowania bezpieczeństwa koncentruje się na zewnętrznych atakujących i, w mniejszym stopniu, na pracownikach. Zewnętrzni dostawcy są często traktowani jako domyślnie zaufani, zwłaszcza specjaliści sprowadzani w sytuacji awaryjnej. Aresztowanie pokazuje słabość tego założenia. Pośrednik mający dostęp do wrażliwych negocjacji zajmuje pozycję ogromnej dźwigni, a jeśli jego interesy różnią się od interesów klienta, klient może nigdy się o tym nie dowiedzieć.

Nie jest to wyłącznie hipotetyczny niepokój. Powiązane materiały na vpn.social opisują, jak były negocjator DigitalMint otrzymał 70 miesięcy za układ z BlackCat, a osobny raport opisuje, jak negocjator Martino został skazany na 70 miesięcy za powiązania z BlackCat. Te teksty zawierają konkretne szczegóły sprawy i podkreślają szerszy punkt: relacja z negocjatorem opiera się na zaufaniu, które rzadko jest audytowane.

Wniosek z reportażu Dark Reading nie jest taki, że wszyscy negocjatorzy są podejrzani. Jest taki, że dostawca z tak dużym dostępem zasługuje na taką samą weryfikację jak każdy inny insider wysokiego ryzyka.

Na co narażone są ofiary i ich dane, gdy dostawca zostanie skompromitowany

Jeśli negocjator lub inny dostawca reagowania zostanie skompromitowany lub działa przeciwko klientowi, ekspozycja może wykraczać daleko poza sam okup. Biorąc pod uwagę rolę, jaką odgrywa negocjator, obszary budzące obawy obejmują:

  • Strategię negocjacji: budżet ofiary, terminy i gotowość do zapłaty są widoczne dla pośrednika.
  • Szczegóły skradzionych danych: negocjatorzy zazwyczaj dowiadują się, co zostało skradzione, co ma znaczenie dla każdego, czyje dane osobowe znajdowały się w tych plikach.
  • Podejmowanie decyzji: porady dotyczące tego, czy zapłacić, opóźniać czy stawiać opór, kształtują wynik dla firmy i dla dotkniętych osób.
  • Komunikację: każda wiadomość do i od atakujących przechodzi przez negocjatora.

Dla jednostek ryzyko jest pośrednie, ale realne. Klienci, pacjenci i pracownicy, których dane znajdują się w zaatakowanej organizacji, nie mają wpływu na wybór dostawcy, ale ponoszą konsekwencje, jeśli ten wybór okaże się błędny.

Jak weryfikować dostawców reagowania na naruszenia, zanim będziesz ich potrzebować

Najlepszy czas na ocenę negocjatora lub firmy zajmującej się reagowaniem na incydenty to okres przed atakiem, gdy można spokojnie zadawać pytania. Artykuł źródłowy wzywa do silniejszego nadzoru nad programami dostawców, a poniższe kroki są praktycznym sposobem zastosowania tej idei. Są to ogólne dobre praktyki, a nie wymogi wynikające z tej sprawy.

  1. Wybierz dostawców z wyprzedzeniem. Wybieranie firmy pod presją nie pozostawia miejsca na należytą staranność. Zbuduj zweryfikowaną krótką listę jako część planu reagowania na incydenty.
  2. Pytaj o kontrole wewnętrzne. Jak firma weryfikuje własnych pracowników? Kto może uzyskać dostęp do negocjacji z klientami i czy ten dostęp jest rejestrowany i przeglądany?
  3. Ujmij oczekiwania na piśmie. Umowy powinny obejmować poufność, konflikty interesów i ujawnianie wszelkich relacji z aktorami zagrożeń lub innymi stronami.
  4. Zapewnij drugą parę oczu przy decyzjach. Upewnij się, że twoje własne kierownictwo, radca prawny lub ubezpieczyciel reviewingują główne wybory, zamiast pozostawiać je jednej osobie.
  5. Ogranicz udostępnianie danych. Przekazuj dostawcom tylko to, czego potrzebują, i prowadź rejestry tego, co otrzymali.
  6. Regularnie przeglądaj relację. Traktuj dostawców reagowania jako część programu zarządzania ryzykiem zewnętrznym, z okresowymi kontrolami, a nie jednorazową aprobatą.

Co to oznacza dla Ciebie

Jeśli prowadzisz małą firmę, możesz nie mieć dedykowanego zespołu ds. bezpieczeństwa, co sprawia, że zaufanie do dostawców jest jeszcze ważniejsze. Zapytaj swojego ubezpieczyciela cybernetycznego lub dostawcę IT, z jakimi firmami reagowania współpracują, i dowiedz się, jak te firmy są nadzorowane. Kilka pytań zadanych teraz kosztuje znacznie mniej niż zła decyzja podjęta w środku kryzysu.

Jeśli jesteś osobą prywatną, praktycznym krokiem jest ograniczenie tego, co organizacje o tobie przechowują. Udostępniaj tylko dane, których usługa naprawdę potrzebuje, używaj unikalnych haseł i uwierzytelniania wieloskładnikowego oraz obserwuj powiadomienia o naruszeniach, aby móc szybko działać, jeśli twoje informacje zostaną ujawnione. Nie możesz zweryfikować dostawcy reagowania na incydenty danej firmy, ale możesz zmniejszyć szkody, jeśli coś pójdzie nie tak.

Kluczowe wnioski

Aresztowanie znanego negocjatora ransomware przypomina, że pośrednicy mogą stanowić ryzyko wewnętrzne i że weryfikacja zagrożeń wewnętrznych związanych z negocjatorem ransomware powinna znajdować się obok kopii zapasowych i aktualizacji w twoim planie gotowości. Wybieraj dostawców przed kryzysem, zadawaj trudne pytania o ich mechanizmy kontrolne i utrzymuj niezależny nadzór nad głównymi decyzjami.

Aby poznać konkretne szczegóły sprawy, przeczytaj nasz materiał o skazanym byłym negocjatorze DigitalMint. Aby zobaczyć, dlaczego zaufanie do dostawców ma jeszcze większe znaczenie, gdy wymuszenia eskalują, zapoznaj się z badaniem na temat gróźb osobistych w atakach ransomware.