Um negociador de ransomware deve ser a pessoa na sala que luta pela vítima. Essa confiança foi quebrada no caso de Angelo Martino, ex-negociador da empresa de resposta a incidentes DigitalMint, condenado a 70 meses de prisão federal por repassar secretamente informações confidenciais de clientes à gangue de ransomware BlackCat, os mesmos criminosos contra os quais ele foi contratado para negociar.

A sentença encerra um dos capítulos mais perturbadores da história recente do ransomware: um caso em que o suposto defensor trabalhava dos dois lados da mesa de negociação.

Um Insider de Confiança que se Tornou Traidor

Quando uma empresa é atingida por ransomware, contratar um negociador profissional costuma ser uma das primeiras providências depois de acionar as autoridades e a assessoria jurídica. Esses especialistas são chamados justamente porque as vítimas estão em pânico, sobrecarregadas tecnicamente e desesperadas para evitar mais danos. Um bom negociador deve ganhar tempo, resistir a exigências infladas e, por fim, reduzir o resgate a um valor que a vítima consiga pagar sem comprometer sua sobrevivência, se é que o pagamento acontece.

A função de Martino na DigitalMint o colocou exatamente nesse tipo de relação. Segundo as investigações, ele usava o acesso a detalhes dos clientes, incluindo informações sobre a pressão que as vítimas estavam sofrendo e o que poderiam estar dispostas a pagar, para ajudar os operadores do BlackCat a extrair pagamentos maiores em vez de reduzi-los. Na prática, ele virou a função do negociador do avesso, trabalhando para maximizar o prejuízo dos próprios clientes que o contrataram para protegê-los.

Como o vpn.social relatou anteriormente, esse esquema dependia totalmente da premissa de que a lealdade de um negociador aponta em uma única direção. A conduta de Martino quebrou essa premissa de um jeito que abalou o setor de resposta a incidentes.

Como Funcionava o Esquema de Agente Duplo

A mecânica do esquema era simples, porém danosa. Ao repassar detalhes confidenciais, informações de seguros, estratégias de negociação ou o quanto uma organização vítima podia realisticamente pagar, Martino deu aos criminosos do BlackCat uma vantagem injusta em todas as negociações em que se envolveu. Em vez de as exigências de resgate diminuírem sob sua suposta defesa, elas eram discretamente ajustadas para crescer.

E não foi um caso isolado. Reportagens relacionadas, incluindo a cobertura do esquema mais amplo de negociadores do BlackCat, observam que Martino não foi o único negociador implicado nesse tipo de conduta ligada à mesma operação de ransomware. Um caso separado envolvendo um negociador da Flórida condenado em um esquema de extorsão relacionado ressalta que não se tratou de um lapso de julgamento isolado de um único agente mal-intencionado, mas de um padrão que explorava a confiança estrutural embutida no setor de resposta a incidentes.

A pena de 70 meses reflete a seriedade com que os procuradores federais trataram a traição: não foi simples negligência ou uma falha de segurança, mas um informante privilegiado deliberadamente agindo contra as pessoas que depositaram sua fé — e seus dados sensíveis — em suas mãos.

O Que Isso Significa Para Você

Para a maioria das pessoas, este caso pode parecer distante do cotidiano, mas ele toca em algo que todos deveriam considerar: quanta confiança depositamos nos intermediários que lidam com nossas informações mais sensíveis durante uma crise. Os negociadores de ransomware ocupam uma posição singularmente privilegiada. Eles têm acesso a detalhes financeiros internos, brechas de segurança e comunicações que uma organização vítima jamais gostaria de ver expostas.

Quando essa confiança é abusada, as consequências vão além das empresas diretamente vitimadas. Funcionários, clientes e qualquer pessoa cujos dados pessoais estavam nos sistemas violados podem acabar pagando o preço duas vezes: uma pelo ataque original de ransomware e outra por um processo de negociação que, secretamente, trabalhava contra elas.

Este caso serve de lembrete de que a privacidade e a segurança em um incidente de ransomware não terminam quando um especialista é contratado. Supervisão, verificação e revisão independente da conduta do negociador importam tanto quanto a resposta inicial ao ataque em si.

Lições Práticas

Se a sua organização algum dia se vir negociando com operadores de ransomware, ou se você simplesmente quiser entender como esses incidentes se desenrolam, algumas lições se destacam no caso Martino:

  • Avalie cuidadosamente os fornecedores de resposta a incidentes e pergunte como eles monitoram sua própria equipe em relação a conflitos de interesse durante as negociações ativas.
  • Exija transparência sobre quem tem acesso a detalhes sensíveis da negociação, incluindo limites financeiros e informações de seguros.
  • Considere uma supervisão independente ou um segundo ponto de contato quando estiverem em jogo grandes exigências de resgate, em vez de depender apenas do relato de um único negociador sobre o processo.
  • Mantenha-se informado sobre como a negociação de ransomware realmente funciona, pois entender os incentivos em jogo ajuda as organizações a fazerem perguntas melhores antes — e não depois — que um ataque aconteça.

A condenação de um negociador de ransomware por trair seus próprios clientes é um caso extremo, mas destaca uma verdade simples: a confiança em uma crise precisa ser conquistada e verificada, não presumida.