Zaufany negocjator pracował dla atakujących

Gdy firmę dotknie atak ransomware, jednym z pierwszych telefonów jest często ten do profesjonalnego negocjatora – osoby wynajętej, by obniżyć żądanie okupu, zyskać na czasie i pełnić rolę bufora między spanikowanymi kierownikami a przestępczymi hakerami. Ten system opiera się w całości na zaufaniu. Niedawny federalny wyrok pokazuje, co się dzieje, gdy to zaufanie zostaje złamane od wewnątrz.

Negocjator ds. ransomware został skazany na 70 miesięcy więzienia federalnego po tym, jak prokuratorzy ustalili, że potajemnie współpracował z grupą BlackCat (znaną też jako ALPHV), podając się za przedstawiciela ofiar. Zamiast chronić firmy, które go wynajęły, przekazywał atakującym wrażliwe informacje, w tym szczegóły dotyczące ubezpieczenia klientów i limitów płatności, co dawało przestępcom przewagę – mogli żądać więcej pieniędzy i skuteczniej wywierać presję. W ramach wyroku nakazano mu również przepadek kryptowaluty związanej z tym procederem.

W sprawie zidentyfikowano co najmniej pięć organizacji pokrzywdzonych, w tym firmę produkującą sprzęt medyczny na Florydzie, od której początkowo zażądano 10 milionów dolarów okupu, a ostatecznie zapłaciła około 1,2 miliona dolarów, firmę farmaceutyczną z Maryland oraz gabinet lekarski. Pełen zakres tego procederu rzekomo wiązał się również z wewnętrznymi walkami między rywalizującymi gangami ransomware – jedna z grup groziła ujawnieniem operacji drugiej, co przypomina, że nawet przestępcze ekosystemy nie są odporne na wewnętrzne konflikty i zdrady.

Jak ten proceder szkodził ofiarom

Negocjatorzy ds. ransomware zajmują wyjątkowo wrażliwą pozycję. Aby wykonywać swoją pracę, zazwyczaj potrzebują dostępu do informacji, których większość firm nigdy nie przekazałaby osobie z zewnątrz: ile gotówki jest dostępne, co dokładnie obejmuje polisa cyberubezpieczeniowa, wewnętrzne terminy oraz jak bardzo zdesperowane jest kierownictwo, by rozwiązać sytuację po cichu. Te informacje powinny pozostać poufne i być wykorzystywane wyłącznie w celu ochrony interesów klienta podczas negocjacji.

Gdy negocjator przekazuje te informacje atakującym, cały proces reagowania na incydent jest kompromitowany, zanim jeszcze się rozpocznie. Ofiary są przekonane, że negocjują z pozycji przemyślanej strategii, podczas gdy druga strona już zna ich limit finansowy. Ta nierównowaga prawdopodobnie wyjaśnia, dlaczego żądania w tych sprawach tak agresywnie rosły i dlaczego początkowe żądanie wobec firmy produkującej sprzęt medyczny było ośmiokrotnie wyższe niż kwota ostatecznie zapłacona.

To nie jest odosobniony przypadek. Jak informowaliśmy przy okazji sprawy skazanego negocjatora ransomware z Florydy w osobnej sprawie o wymuszenia w USA, organy ścigania zidentyfikowały już kilku negocjatorów powiązanych z tą samą siecią wymuszeń związaną z BlackCat. Ten schemat sugeruje, że nie była to jednorazowa zdrada, ale celowe, przynajmniej częściowo zorganizowane działanie mające na celu wykorzystanie branży reagowania na incydenty od wewnątrz.

Konsekwencje dla prywatności ofiar naruszeń

Konsekwencje dla prywatności wykraczają daleko poza kwoty okupu. Firmy produkujące sprzęt medyczny, farmaceutyczne i gabinety lekarskie regularnie przechowują wrażliwe dane pacjentów i dane zdrowotne. Gdy negocjator potajemnie działa na szkodę ofiary, rodzi to realne pytania o to, jakie inne wrażliwe informacje mogły zostać ujawnione, niewłaściwie wykorzystane lub użyte jako dodatkowa presja podczas procesu wymuszenia. Firmy działające w sektorze opieki zdrowotnej i innych regulowanych branżach już teraz są zobowiązane do ochrony danych pacjentów na podstawie surowych wymogów prywatności, a wewnętrzna zdrada podczas incydentu ransomware komplikuje każdą późniejszą decyzję, w tym to, czy i jak powiadomić osoby dotknięte.

To wydarzenie uwydatnia również martwy punkt, którego wiele organizacji nie bierze pod uwagę, dopóki nie jest za późno: dostawcy usług reagowania na incydenty, w tym negocjatorzy, firmy kryminalistyczne, a nawet prawnicy wzywani w trakcie naruszenia, rzadko podlegają takiej samej weryfikacji, jak inne rodzaje ryzyka ze strony podmiotów trzecich. Firma może prowadzić szczegółowe badanie due diligence wobec dostawcy usług chmurowych czy producenta oprogramowania, a mimo to w sytuacji kryzysowej zatrudnić negocjatora, kierując się głównie reputacją lub pilnością.

Co to oznacza dla Ciebie

Jeśli Twoja organizacja kiedykolwiek będzie musiała zatrudnić negocjatora ds. ransomware lub firmę reagowania na incydenty, ta sprawa jest powodem, by zwolnić, a nie panikować. Weryfikuj referencje samodzielnie, zamiast polegać wyłącznie na rekomendacjach od ubezpieczyciela lub pojedynczej osoby kontaktowej. Zadawaj bezpośrednie pytania o to, jak informacje o kliencie są przetwarzane, przechowywane i udostępniane, i żądaj udokumentowanych granic tego, co negocjator może, a czego nie może ujawniać. Jeśli Twoja polisa cyberubezpieczeniowa narzuca konkretną listę dostawców, przeanalizuj ją proaktywnie – zanim dojdzie do ataku – zamiast działać chaotycznie podczas aktywnego incydentu, gdy zarówno przewaga negocjacyjna, jak i trzeźwy osąd są już zagrożone.

Dla osób indywidualnych płynie z tego prostszy, choć wciąż ważny wniosek: jeśli otrzymasz zawiadomienie, że dostawca usług medycznych, apteka lub firma produkująca sprzęt medyczny, z którą miałeś kontakt, doświadczyła incydentu ransomware, potraktuj to zawiadomienie poważnie, nawet jeśli firma twierdzi, że ekspozycja danych była ograniczona. Takie przypadki pokazują, że wewnętrzne postępowanie z naruszeniem może być znacznie bardziej chaotyczne, niż sugerują to oficjalne komunikaty.

Wnioski

Ten wyrok to rzadki, konkretny przykład tego, jak rola negocjatora ds. ransomware – zbudowana w całości na poufności i zaufaniu – może zostać wykorzystana przeciwko organizacjom, które miała chronić. Weryfikuj dostawców usług reagowania na incydenty, zanim uderzy kryzys; zapisuj w umowie jasne granice wymiany informacji; i pamiętaj, że skuteczność negocjatora ds. ransomware zależy od tego, by tajemnica pozostała tajemnicą po Twojej stronie, a nie po stronie atakującego.