Um negociador de confiança estava trabalhando para os criminosos

Quando uma empresa é atingida por ransomware, uma das primeiras ligações costuma ser para um negociador profissional, alguém contratado para reduzir o valor do resgate, ganhar tempo e servir de intermediário entre executivos em pânico e hackers criminosos. Esse sistema depende totalmente da confiança. Uma sentença federal recente mostra o que acontece quando essa confiança é quebrada por dentro.

Um negociador de ransomware foi condenado a 70 meses de prisão federal depois que os promotores descobriram que ele havia conspirado secretamente com o grupo de ransomware BlackCat (também conhecido como ALPHV) enquanto afirmava representar as vítimas. Em vez de proteger as empresas que o contratavam, ele supostamente repassava aos criminosos detalhes sigilosos, incluindo informações sobre a cobertura de seguro e os limites de pagamento dos clientes, o que dava aos criminosos vantagem para exigir mais dinheiro e pressionar com mais eficácia. Como parte da sentença, ele também perdeu criptomoedas ligadas ao esquema.

O caso identificou pelo menos cinco organizações vítimas, incluindo uma empresa de dispositivos médicos na Flórida que inicialmente recebeu uma exigência de resgate de US$ 10 milhões antes de pagar cerca de US$ 1,2 milhão, uma empresa farmacêutica em Maryland e um consultório médico. O alcance total do esquema também teria se cruzado com disputas internas entre gangues rivais de ransomware, com um grupo ameaçando expor as operações do outro, um lembrete de que até mesmo os ecossistemas criminosos não estão imunes a conflitos internos e traições.

Como o esquema prejudicou as vítimas

Os negociadores de ransomware ocupam uma posição excepcionalmente sensível. Para fazer seu trabalho, eles normalmente precisam acessar informações que a maioria das empresas jamais entregaria a alguém de fora: quanto dinheiro está disponível, o que a apólice de seguro cibernético realmente cobre, prazos internos e o nível de desespero da liderança para resolver a situação discretamente. Essas informações devem permanecer confidenciais e ser usadas apenas para proteger os interesses do cliente durante a negociação.

Quando um negociador, em vez disso, repassa essas informações aos criminosos, todo o processo de resposta a incidentes fica comprometido antes mesmo de começar. As vítimas acreditam que estão negociando a partir de uma posição de estratégia informada, quando na realidade o outro lado já conhece o seu teto financeiro. Esse desequilíbrio provavelmente explica por que as exigências nesses casos aumentaram de forma tão agressiva e por que o pedido inicial à empresa de dispositivos médicos foi oito vezes maior do que o valor que ela acabou pagando.

Este não é um incidente isolado. Como relatamos em nossa cobertura sobre um negociador de ransomware da Flórida condenado em outro caso de extorsão nos EUA, as autoridades policiais já identificaram vários negociadores ligados à mesma rede de extorsão associada ao BlackCat. O padrão sugere que não se tratou de uma traição pontual, mas de um esforço deliberado e, pelo menos em parte, organizado para explorar o setor de resposta a incidentes por dentro.

Implicações de privacidade para as vítimas de violações

As consequências para a privacidade vão muito além dos valores dos resgates. Empresas de dispositivos médicos, farmacêuticas e consultórios médicos rotineiramente mantêm dados sensíveis de pacientes e de saúde. Quando um negociador trabalha secretamente contra os interesses da vítima, surgem dúvidas reais sobre quais outras informações sigilosas podem ter sido expostas, manuseadas de forma inadequada ou usadas como alavanca adicional durante o processo de extorsão. As empresas que atuam na área da saúde e em outros setores regulamentados já são obrigadas a proteger os dados dos pacientes sob rigorosas obrigações de privacidade, e uma traição interna durante um incidente de ransomware complica todas as decisões subsequentes, incluindo se e como notificar os indivíduos afetados.

Isso também evidencia um ponto cego que muitas organizações só consideram quando já é tarde demais: os fornecedores de resposta a incidentes, incluindo negociadores, empresas de perícia forense e até mesmo consultores jurídicos acionados durante uma violação, raramente são avaliados com o mesmo rigor aplicado a outros riscos de terceiros. Uma empresa pode realizar uma extensa diligência em um provedor de nuvem ou fornecedor de software, mas acaba contratando um negociador em meio a uma crise com base, principalmente, na reputação ou na urgência.

O que isso significa para você

Se sua organização algum dia precisar contratar um negociador de ransomware ou uma empresa de resposta a incidentes, este caso é um motivo para ir devagar, não para entrar em pânico. Verifique as credenciais de forma independente, em vez de confiar apenas em indicações da sua seguradora ou de um único contato. Faça perguntas diretas sobre como as informações do cliente são tratadas, armazenadas e compartilhadas e insista em limites documentados sobre o que o negociador pode ou não divulgar. Se sua apólice de seguro cibernético exigir uma lista específica de fornecedores, analise essa lista de forma proativa, antes que um ataque aconteça, em vez de correr durante um incidente ativo, quando a capacidade de barganha e o discernimento já estão comprometidos.

Para os indivíduos, a lição é mais simples, mas ainda importante: se você for notificado de que um prestador de serviços de saúde, uma farmácia ou uma empresa de dispositivos médicos com a qual você interagiu sofreu um incidente de ransomware, leve a notificação a sério, mesmo que a empresa afirme que a exposição de dados foi limitada. Casos como este mostram que o gerenciamento interno de uma violação pode ser muito mais confuso do que sugerem as declarações públicas.

Pontos principais

Esta sentença é um exemplo raro e concreto de como o papel do negociador de ransomware, inteiramente baseado na confidencialidade e na confiança, pode ser usado como arma contra as próprias organizações que deveria proteger. Avalie seus fornecedores de resposta a incidentes antes que uma crise ocorra, estabeleça limites claros para o compartilhamento de informações em qualquer contrato e lembre-se de que a vantagem de um negociador de ransomware depende de o sigilo permanecer secreto do seu lado, não do lado do criminoso.