Um Insider Confiável que se Tornou Cúmplice

Quando uma empresa é vítima de ransomware, muitas vezes recorre a um negociador especializado para conduzir a conversa delicada e de alto risco com os atacantes. Esse era exatamente o papel de Angelo Martino, 41 anos, na DigitalMint, uma empresa que ajuda organizações a lidar com incidentes de ransomware e a negociar pagamentos em nome delas. Martino era acionado durante casos de violação ativos, sentando-se do lado da mesa que deveria proteger as vítimas.

Em vez disso, de acordo com os registros do tribunal, Martino estava secretamente trabalhando com afiliados do grupo de ransomware BlackCat (também conhecido como ALPHV), uma das operações de extorsão mais notórias dos últimos anos. Em vez de defender os interesses de seus clientes, ele supostamente passava aos atacantes informações confidenciais obtidas dentro das negociações que ele deveria conduzir em nome das vítimas. Esse conhecimento interno teria ajudado a gangue a obter pagamentos maiores, com relatórios indicando que o esquema contribuiu para cerca de 75 milhões de dólares extorquidos de organizações vítimas em vários casos. Martino se declarou culpado e foi condenado a 70 meses de prisão federal.

Como o Esquema Minou a Negociação de Ransomware

A negociação de ransomware existe porque as empresas que enfrentam um ataque muitas vezes não têm a expertise especializada para se comunicar com grupos criminosos, avaliar a credibilidade das ameaças ou determinar se pagar um resgate é mesmo aconselhável. Empresas como a DigitalMint devem atuar como um firewall, usando sua experiência para reduzir as exigências, verificar a capacidade de recuperação dos dados e evitar que as vítimas sejam exploradas duas vezes.

O caso de Martino vira esse modelo do avesso. Ao vazar detalhes sensíveis das negociações ativas, incluindo informações internas de clientes, limites financeiros e o estado da posição de negociação da vítima, ele efetivamente entregou aos afiliados do BlackCat o manual de que precisavam para exigir pagamentos máximos. Trata-se de uma violação profunda de confiança, não apenas entre Martino e seu empregador, mas também entre o empregador e cada cliente que supunha que sua equipe de resposta a crises trabalhava exclusivamente para ele.

Esse tipo de conluio interno é particularmente prejudicial porque as vítimas de ransomware já estão em uma posição vulnerável. Frequentemente estão sob pressão para tomar decisões rápidas sobre dados sensíveis, tempo de inatividade operacional e exposição regulatória. Casos como o resgate pago pela Instructure após a violação do Canvas mostram como as organizações, às vezes, concluem que o pagamento é a opção menos prejudicial disponível. Quando o negociador responsável por essa decisão tem um incentivo financeiro para trabalhar contra a vítima, todo o cálculo usado para justificar um pagamento fica comprometido.

Por que Este Caso Gera Preocupações de Privacidade Ainda Maiores para as Empresas

As implicações de privacidade aqui vão muito além das perdas financeiras imediatas. As negociações de ransomware normalmente envolvem o compartilhamento de material altamente sensível: o escopo dos dados roubados, avaliações internas de segurança, comunicações executivas e detalhes sobre o que uma empresa está disposta a pagar. As vítimas compartilham essas informações partindo do princípio de que elas permanecem em um círculo restrito de respondentes confiáveis.

As ações de Martino demonstram que o próprio ecossistema de resposta a incidentes pode se tornar um ponto de falha. Mesmo organizações que fazem tudo certo após uma violação, contratando empresas respeitáveis, seguindo os protocolos recomendados e cooperando com as autoridades, ainda podem ter seus dados e sua posição de negociação minados internamente. Isso espelha as táticas de pressão observadas em outras campanhas de extorsão de alto perfil, como as táticas de escalada usadas quando ShinyHunters desfigurou portais escolares durante sua campanha de resgate do Canvas, em que os atacantes se apoiaram no constrangimento público e na alavancagem de dados para forçar uma resolução.

O Que Isso Significa Para Você

Se sua organização alguma vez se encontrar negociando com um grupo de ransomware, este caso serve como um lembrete de que o processo de seleção de fornecedores merece tanto escrutínio quanto suas ferramentas de segurança cibernética. Pergunte a potenciais empresas de negociação sobre os controles internos, a verificação de funcionários e como os dados dos clientes são segmentados e monitorados durante um caso ativo. Solicite clareza sobre quem tem acesso aos detalhes da negociação e se algum indivíduo possui autoridade irrestrita sobre as comunicações com os atacantes.

Para indivíduos e empresas menores sem recursos para uma diligência aprofundada de fornecedores, a lição é mais ampla: minimize os dados sensíveis que podem ser expostos em primeiro lugar. Fortes práticas de backup, segmentação de rede e a limitação da quantidade de dados pessoais ou financeiros armazenados em sistemas facilmente acessíveis reduzem a alavancagem que um grupo de ransomware, ou um agente interno comprometido, pode ter sobre você.

Principais Conclusões

  • Avalie empresas de resposta a incidentes e negociação com o mesmo rigor aplicado a qualquer fornecedor que lide com dados sensíveis.
  • Pergunte como as empresas de negociação monitoram e auditam internamente o acesso dos funcionários durante casos ativos de ransomware.
  • Reduza o volume de dados sensíveis armazenados em sistemas vulneráveis a comprometimento, pois menos exposição significa menos alavancagem para atacantes ou insiders.
  • Trate a negociação de ransomware como uma decisão que requer sua própria supervisão, não como uma caixa-preta gerida inteiramente por terceiros.

O caso Martino é um exemplo raro, mas grave, de traição interna no setor de resposta a ransomware. Isso não significa que não se pode confiar amplamente nas empresas de negociação, mas ressalta que a confiança deve ser verificada, não presumida, especialmente quando os detalhes mais sensíveis de uma violação da empresa estão em jogo.