Um Insider de Confiança se Voltou Contra Seus Próprios Clientes
Quando uma empresa é atingida por ransomware, normalmente chama um negociador, alguém cujo trabalho é se comunicar com os atacantes, avaliar a situação e tentar reduzir os danos. Essa relação depende inteiramente de confiança. Um ex-negociador da empresa de resposta a incidentes DigitalMint acaba de mostrar o que acontece quando essa confiança é quebrada.
Angelo Martino, 41 anos, foi sentenciado a 70 meses de prisão federal por conspirar com o grupo de ransomware BlackCat (também conhecido como ALPHV) enquanto trabalhava como negociador supostamente representando os interesses das vítimas. Em vez de defender exclusivamente seus clientes, Martino usou sua posição para repassar informações aos próprios criminosos que seus clientes tentavam combater, de acordo com reportagem do Help Net Security. O caso, detalhado em nossa cobertura anterior da sentença de 70 meses do negociador da DigitalMint, destaca uma ameaça que a maioria das vítimas de ransomware nunca pensa em considerar: a pessoa contratada para protegê-las.
Por que os Negociadores de Ransomware Detêm Tantos Dados Sensíveis
Os negociadores de ransomware ocupam uma posição singularmente privilegiada. Para fazer seu trabalho de forma eficaz, geralmente precisam de acesso a detalhes que a maioria dos funcionários de uma organização vítima nunca vê: a extensão da violação, quais dados foram roubados, quanta cobertura de seguro cibernético a empresa possui e quanto a empresa está realisticamente disposta ou é capaz de pagar. Essas informações valem ouro para um atacante. Saber os limites do seguro da vítima, por exemplo, permite que um grupo de ransomware calibre sua exigência de resgate para extrair o pagamento máximo possível.
É exatamente isso que torna o caso Martino notável do ponto de vista da privacidade. Não foi um hacker externo invadindo os sistemas de uma empresa. Foi um insider, alguém contratado especificamente por causa do acesso sensível que sua função exigia, supostamente usando esse acesso contra as pessoas que o contrataram. As empresas de resposta a incidentes e negociação existem porque a maioria das organizações não tem as habilidades especializadas para lidar internamente com uma crise de ransomware. Essa dependência de especialistas externos é razoável e muitas vezes necessária, mas também significa que as vítimas estão depositando confiança em um terceiro com pouca capacidade de verificar de forma independente se essa confiança é justificada.
O ecossistema mais amplo de ransomware já força as vítimas a fazerem difíceis concessões de privacidade. Pagar um resgate não garante que os dados roubados serão excluídos, e negociar de boa-fé pressupõe que o outro lado, e todos que estão te orientando, também estejam agindo de boa-fé. Um caso como esse corrói essa suposição de uma forma que pode tornar as vítimas mais hesitantes em divulgar completamente as informações aos profissionais que deveriam ajudá-las, potencialmente retardando a resposta a incidentes no momento em que isso é mais crítico.
O Que Isso Significa Para Você
A maioria dos leitores nunca contratará pessoalmente um negociador de ransomware, mas a lição subjacente se aplica de forma ampla: fornecedores terceirizados com acesso aos seus dados sensíveis são tão confiáveis quanto o elo mais fraco dentro da organização desse fornecedor. Seja um escritório de advocacia, um contratado de resposta a incidentes, um provedor de nuvem ou qualquer empresa que manuseie suas informações pessoais ou financeiras, a segurança desse relacionamento depende de controles internos que você não pode ver de fora.
Para as empresas, este caso é um lembrete para fazer perguntas difíceis antes e durante um incidente de ransomware. Quem na empresa de negociação tem acesso aos detalhes do seguro e à autoridade de pagamento? Existem controles internos que impeçam um único funcionário de se comunicar diretamente com os agentes de ameaça sem supervisão? As conversas são registradas e revisadas? Essas não são perguntas que a maioria das empresas pensa em fazer no meio de uma crise, mas deveriam fazer parte da diligência prévia antes que uma violação aconteça, e não depois.
Para os indivíduos, a lição é mais indireta, mas ainda é relevante. Quando uma empresa com a qual você faz negócios sofre um ataque de ransomware, o gerenciamento desse incidente, incluindo quem tem acesso aos seus dados comprometidos durante as negociações, está em grande parte fora do seu controle. Essa é mais uma razão para minimizar a quantidade de dados pessoais sensíveis que você compartilha com qualquer organização, e para usar ferramentas como gerenciadores de senhas e autenticação multifator, para que uma única violação não possa se propagar para um comprometimento mais amplo de contas.
Pontos-Chave para Ficar à Frente do Risco de Insider
Esta sentença envia um sinal claro de que a traição de um insider durante uma resposta a ransomware acarreta sérias consequências legais, mas a prevenção é mais importante do que a punição após o fato. Se sua organização trabalha com empresas de resposta a incidentes ou negociação, exija controles de acesso documentados, supervisão independente das negociações e responsabilidade contratual clara. Se você for um indivíduo afetado por uma violação em uma empresa em que confia, leve as notificações a sério, altere senhas reutilizadas e monitore as contas vinculadas a essa organização.
O caso Martino provavelmente será citado por anos como um exemplo de advertência no campo dos negociadores de ransomware. Para todos os outros, é um lembrete útil de que a confiança em uma crise precisa ser conquistada e verificada, não presumida.
