A prisão de um conhecido negociador de ransomware, noticiada pelo Dark Reading, levantou uma questão incômoda para qualquer organização que já tenha precisado se preparar para uma violação: o que acontece quando a pessoa que você contrata para lidar com os atacantes está trabalhando para o outro lado? O caso é um lembrete contundente de que a verificação de ameaças internas de negociadores de ransomware pertence a todos os planos de resposta a incidentes, não apenas aos controles técnicos que o cercam.
O artigo de origem enquadra a lição como uma necessidade de supervisão mais forte dos programas de fornecedores. Esta publicação analisa como a negociação funciona, o que a prisão revela e o que pequenas empresas e usuários preocupados com a privacidade podem fazer a respeito.
Como a Extorsão por Ransomware e a Negociação Realmente Funcionam
Quando uma empresa é atingida por ransomware, uma das primeiras ligações costuma ser para um negociador profissional. O trabalho dele é se comunicar com os atacantes, avaliar a situação e tentar reduzir os danos. Ele atua como um amortecedor entre vítimas em pânico e criminosos que podem estar exigindo pagamento para restaurar sistemas ou manter dados roubados em sigilo.
Esse arranjo só funciona se a vítima confiar completamente no intermediário. O negociador vê a exigência de resgate, descobre quais dados foram levados e frequentemente entende quanto a vítima pode pagar e com que urgência precisa dos sistemas de volta. As vítimas geralmente têm pouca capacidade de verificar qualquer uma dessas coisas de forma independente. Elas estão em crise, com pouco tempo e dependendo da expertise do negociador.
A extorsão também está se tornando mais difícil de gerenciar. Uma pesquisa global noticiada pelo The Register descobriu que 37% dos ataques de ransomware agora incluem ameaças pessoais, sejam psicológicas ou físicas. À medida que a pressão sobre as vítimas aumenta, também cresce sua dependência das pessoas que as orientam.
O Que a Prisão do Negociador Revela Sobre o Risco Interno
A maior parte do planejamento de segurança se concentra em atacantes externos e, em menor grau, em funcionários. Fornecedores terceirizados costumam ser tratados como confiáveis por padrão, especialmente especialistas trazidos durante uma emergência. A prisão mostra a fragilidade dessa suposição. Um intermediário com acesso a negociações sensíveis ocupa uma posição de enorme alavancagem, e se os interesses dessa pessoa divergirem dos do cliente, o cliente pode nunca saber.
Isso não é uma preocupação puramente hipotética. A cobertura relacionada no vpn.social detalha como um ex-negociador da DigitalMint recebeu 70 meses por um acordo com o BlackCat, e um relatório separado cobre como o negociador Martino foi condenado a 70 meses por vínculos com o BlackCat. Essas peças cobrem os detalhes concretos do caso e sublinham o ponto mais amplo: a relação com o negociador depende de uma confiança que raramente é auditada.
A conclusão do relatório do Dark Reading não é que todos os negociadores são suspeitos. É que um fornecedor com tanto acesso merece o mesmo escrutínio que qualquer outro insider de alto risco.
A Que Vítimas e Seus Dados Estão Expostos Quando um Fornecedor É Comprometido
Se um negociador ou outro fornecedor de resposta for comprometido, ou estiver agindo contra o cliente, a exposição pode se estender muito além do resgate em si. Com base no papel que um negociador desempenha, as áreas de preocupação incluem:
- Estratégia de negociação: o orçamento da vítima, os prazos e a disposição de pagar são todos visíveis ao intermediário.
- Detalhes dos dados roubados: os negociadores geralmente descobrem o que foi levado, o que importa para qualquer pessoa cujas informações pessoais estavam nesses arquivos.
- Tomada de decisão: o aconselhamento sobre pagar, atrasar ou resistir molda o resultado para a empresa e para as pessoas afetadas.
- Comunicações: toda mensagem enviada aos atacantes e recebida deles passa pelo negociador.
Para os indivíduos, o risco é indireto, mas real. Clientes, pacientes e funcionários cujos dados estão dentro de uma organização violada não têm voz na escolha do fornecedor, mas arcam com as consequências se essa escolha der errado.
Como Verificar Fornecedores de Resposta a Violações Antes de Precisar de Um
O melhor momento para avaliar um negociador ou empresa de resposta a incidentes é antes de um ataque, quando você pode fazer perguntas com calma. O artigo de origem pede uma supervisão mais forte do programa de fornecedores, e estes passos são uma forma prática de aplicar essa ideia. Eles são boas práticas gerais, e não requisitos extraídos do caso.
- Escolha seus fornecedores com antecedência. Selecionar uma empresa sob pressão não deixa espaço para due diligence. Construa uma lista curta verificada como parte do seu plano de resposta a incidentes.
- Pergunte sobre controles internos. Como a empresa verifica seus próprios funcionários? Quem pode acessar negociações de clientes, e esse acesso é registrado e revisado?
- Coloque as expectativas por escrito. Os contratos devem cobrir confidencialidade, conflitos de interesse e divulgação de quaisquer relacionamentos com atores de ameaças ou outras partes.
- Mantenha um segundo par de olhos nas decisões. Certifique-se de que sua própria liderança, assessoria jurídica ou seguradora revise as principais escolhas, em vez de deixá-las para uma única pessoa.
- Limite o compartilhamento de dados. Dê aos fornecedores apenas o que eles precisam e mantenha registros do que eles receberam.
- Revise o relacionamento regularmente. Trate os fornecedores de resposta como parte do seu programa de risco de terceiros, com verificações periódicas em vez de uma aprovação única.
O Que Isso Significa Para Você
Se você administra uma pequena empresa, pode não ter uma equipe de segurança dedicada, o que torna a confiança no fornecedor ainda mais importante. Pergunte à sua seguradora cibernética ou provedor de TI com quais empresas de resposta eles trabalham e descubra como essas empresas são supervisionadas. Algumas perguntas feitas agora custam muito menos do que uma decisão ruim tomada em meio a uma crise.
Se você é um indivíduo, o passo prático é limitar o que as organizações mantêm sobre você. Compartilhe apenas os dados que um serviço realmente precisa, use senhas exclusivas e autenticação multifator, e fique atento a notificações de violação para poder agir rapidamente se suas informações forem expostas. Você não pode verificar o fornecedor de resposta a incidentes de uma empresa, mas pode reduzir os danos se algo der errado.
Principais Conclusões
A prisão de um conhecido negociador de ransomware é um lembrete de que os intermediários podem ser um risco interno, e que a verificação de ameaças internas de negociadores de ransomware deve ficar ao lado de backups e patches no seu plano de preparação. Escolha fornecedores antes de uma crise, faça perguntas difíceis sobre seus controles e mantenha supervisão independente das principais decisões.
Para detalhes concretos do caso, leia nossa cobertura sobre o ex-negociador da DigitalMint condenado. Para ver por que a confiança no fornecedor importa ainda mais à medida que a extorsão escala, revise a pesquisa sobre ameaças pessoais em ataques de ransomware.
