O Que Aconteceu: O Negociador Que Trabalhava Para os Dois Lados

Quando uma empresa é atacada por ransomware, uma das primeiras ligações que faz é para um negociador: um especialista de confiança que atua entre a vítima em pânico e um grupo criminoso, trabalhando para reduzir o valor do resgate ou ganhar tempo para a recuperação. Essa relação depende inteiramente da confiança. De acordo com a reportagem do Malwarebytes, um desses negociadores quebrou essa confiança da forma mais prejudicial possível. Em vez de ajudar as vítimas a resistir ao grupo de ransomware BlackCat, ele secretamente repassava informações dos criminosos para dentro das negociações que supostamente conduzia em nome das vítimas.

O resultado foi um cenário de ameaça interna com um negociador de ransomware que custou milhões às vítimas. Em vez de atuar como um firewall entre a empresa e o atacante, o negociador efetivamente se tornou um segundo atacante, com acesso privilegiado aos limites financeiros, à estratégia jurídica e à disposição da vítima para pagar. Isso é tão grave quanto uma falha na resposta a incidentes pode ser, pois transforma a própria salvaguarda pela qual as organizações pagam em um risco.

Como Gangues de Ransomware como Serviço Recrutam Intermediários de Confiança

O BlackCat, também conhecido como ALPHV, opera como um grupo de ransomware como serviço (RaaS), ou seja, licencia seu malware e infraestrutura para afiliados que realizam os ataques e dividem os lucros. Esse modelo de negócios sempre dependeu da construção de redes de pessoas dispostas a cooperar em troca de uma parte dos ganhos, desde corretores de acesso inicial que vendem credenciais roubadas até afiliados que implantam a carga útil de criptografia. Um negociador comprometido ou conivente é simplesmente a extensão lógica seguinte dessa rede: alguém inserido no ecossistema legítimo de resposta a incidentes que pode compartilhar informações que a gangue jamais conseguiria obter por conta própria.

É exatamente por isso que o caso importa além do próprio BlackCat. As gangues de ransomware entendem cada vez mais que o elo mais fraco na resposta a uma violação nem sempre é um firewall ou um servidor sem correção. Pode ser uma pessoa, e especificamente uma pessoa que a vítima escolheu confiar durante o momento mais estressante de um incidente de segurança. O mesmo princípio de explorar confiança e acesso aparece em todo o cenário de ransomware e extorsão de dados, incluindo incidentes como o ataque do ShinyHunters aos sistemas de RH do Conselho da Europa, em que os atacantes demonstraram mais uma vez como grupos criminosos conseguem alavancar o acesso interno assim que encontram uma porta de entrada.

Por Que Isso Expande a Superfície de Ataque Para as Vítimas de Violações

A maioria das organizações pensa no risco de ransomware em termos de sua própria rede: endpoints, servidores, backups, treinamento de funcionários. Muito poucas pensam no risco introduzido pelos fornecedores e consultores que contratam após um ataque já ter começado. Mas um negociador, assim como um investigador forense ou um consultor jurídico especializado, muitas vezes tem acesso a algumas das informações mais sensíveis que uma empresa possui durante uma crise: o valor do resgate que a vítima está disposta a pagar, quais dados foram realmente roubados e o quão desesperada a organização está para evitar a divulgação pública.

Quando esse acesso é usado de forma abusiva, o dano se multiplica. As vítimas não apenas perdem dinheiro com o resgate em si, mas também perdem qualquer poder de barganha que tinham nas negociações, porque a gangue já conhece seu limite máximo antes mesmo de as conversas começarem. Esse caso é um lembrete de que a cadeia de suprimentos da resposta a incidentes merece o mesmo escrutínio que qualquer outro relacionamento com fornecedores e que a confiança durante uma crise nunca deve ser presumida apenas porque alguém tem o cargo certo.

Como Avaliar Respondedores de Incidentes e Negociadores Antes que uma Crise Aconteça

O melhor momento para avaliar um negociador de ransomware ou uma empresa de resposta a incidentes é antes que um ataque ocorra, e não durante, quando a pressão do tempo torna quase impossível uma diligência cuidadosa. As organizações podem tomar várias medidas concretas:

  • Confirmar o histórico da empresa e solicitar referências de clientes anteriores que passaram por incidentes semelhantes.
  • Perguntar como a empresa avalia seu próprio pessoal, incluindo verificações de antecedentes e controles internos sobre quem pode acessar os detalhes da negociação.
  • Exigir registros de comunicação documentados e auditáveis durante qualquer negociação, em vez de depender exclusivamente de um único ponto de contato.
  • Envolver um consultor jurídico externo ou um segundo assessor de segurança para verificar de forma independente decisões importantes, como valores de resgate ou prazos de pagamento.
  • Estabelecer esses relacionamentos e contratos com fornecedores com antecedência, como parte de um contrato de retenção de resposta a incidentes, em vez de correr para encontrar ajuda no meio da violação.

O Que Isso Significa Para Você

Se sua organização tem um plano de resposta a ransomware, este caso é um bom motivo para revisar quem realmente está nesse plano e o quanto você os conhece. Uma ameaça interna de um negociador de ransomware é rara, mas as consequências são tão graves que uma quantidade modesta de verificação prévia vale o esforço. A mesma lógica se aplica a qualquer terceiro com acesso privilegiado durante uma violação: investigadores forenses, consultores jurídicos e empresas de relações públicas merecem o mesmo escrutínio que você aplicaria a um novo fornecedor de software.

Pontos-Chave

  • Avalie empresas de resposta a incidentes e negociação antes de uma crise, incluindo verificações de antecedentes do pessoal e referências.
  • Exija registros documentados e auditáveis de todas as negociações de resgate, em vez de depender de um único indivíduo de confiança.
  • Trate os respondentes terceirizados como parte da sua superfície de ataque, e não apenas como defesa.
  • Mantenha-se informado sobre como grupos de ransomware e extorsão exploram a confiança em cada etapa de uma violação, desde o acesso inicial até a negociação final.