Un negociator de ransomware ar trebui să fie persoana din încăpere care luptă pentru victimă. Această încredere a fost spulberată în cazul lui Angelo Martino, un fost negociator la firma de răspuns la incidente DigitalMint, care a fost condamnat la 70 de luni de închisoare federală pentru că a furnizat în secret informații confidențiale despre clienți bandei de ransomware BlackCat, chiar atacatorii împotriva cărora era angajat să negocieze.

Sentința încheie unul dintre cele mai tulburătoare capitole din istoria recentă a ransomware-ului: un caz în care presupusul apărător lucra de ambele părți ale mesei de negociere.

Un insider de încredere transformat în trădător

Când o afacere este lovită de ransomware, angajarea unui negociator profesionist este adesea unul dintre primele apeluri făcute după contactarea autorităților și a consilierilor juridici. Acești specialiști sunt aduși tocmai pentru că victimele sunt panicată, depășite din punct de vedere tehnic și disperate să evite daune suplimentare. Un negociator bun ar trebui să câștige timp, să respingă cererile umflate și, în final, să reducă răscumpărarea la o sumă pe care victima să o poată plăti fără a fi distrusă, dacă plata are loc.

Rolul lui Martino la DigitalMint l-a plasat exact în acea relație. Conform raportărilor, el și-a folosit accesul la detaliile clienților, inclusiv informații despre presiunile sub care se aflau victimele și cât ar fi dispuse să plătească, pentru a ajuta operatorii BlackCat să obțină plăți mai mari, nu mai mici. De fapt, el a întors pe dos meseria de negociator, lucrând pentru a maximiza daunele aduse chiar clienților care îl angajaseră pentru protecție.

După cum a relatat anterior vpn.social, acest aranjament se baza în întregime pe presupunerea că loialitatea unui negociator merge într-o singură direcție. Comportamentul lui Martino a spulberat această presupunere într-un mod care a zguduit industria de răspuns la incidente.

Cum a funcționat schema agentului dublu

Mecanismele schemei au fost simple, dar devastatoare. Transmițând detalii confidențiale, informații de asigurare, strategia de negociere sau cât de mult și-ar putea permite realist o organizație victimă, Martino le-a oferit atacatorilor BlackCat un avantaj nedrept în fiecare negociere pe care a atins-o. În loc ca cererile de răscumpărare să scadă sub presupusa lui advocacy, ele erau construite în liniște să crească.

Nici nu a fost un incident izolat. Articolele conexe despre acest caz, inclusiv relatări despre schema mai largă a negociatorilor BlackCat, notează că Martino nu a fost singurul negociator implicat în acest tip de comportament legat de aceeași operațiune de ransomware. Un caz separat care implică un negociator din Florida condamnat într-o schemă de extorcare similară subliniază că nu a fost o simplă eroare de judecată a unui singur individ rău-intenționat, ci un tipar care a exploatat încrederea structurală construită în industria de răspuns la incidente.

Sentința de 70 de luni reflectă seriozitatea cu care procurorii federali au tratat trădarea: nu a fost o simplă neglijență sau un eșec de securitate, ci un insider care a lucrat deliberat împotriva oamenilor care își puseseră încrederea, și datele sensibile, în mâinile lui.

Ce înseamnă asta pentru tine

Pentru majoritatea oamenilor, acest caz poate părea departe de viața de zi cu zi, dar atinge ceva de care toată lumea ar trebui să-i pese: câtă încredere acordăm intermediarilor care gestionează cele mai sensibile informații ale noastre în timpul unei crize. Negociatorii de ransomware ocupă o poziție extrem de privilegiată. Ei văd detalii financiare interne, lacune de securitate și comunicări pe care o organizație victimă nu ar dori niciodată să le facă publice.

Când această încredere este abuzată, consecințele se extind dincolo de companiile victime imediate. Angajații, clienții și oricine ale cărui date personale erau stocate în acele sisteme compromise pot ajunge să plătească prețul de două ori: o dată prin atacul ransomware inițial și din nou printr-un proces de negociere care lucra în secret împotriva lor.

Acest caz este un memento că intimitatea și securitatea într-un incident ransomware nu se termină odată ce un specialist este angajat. Supravegherea, verificarea și revizuirea independentă a conduitei negociatorului contează la fel de mult ca răspunsul inițial la atac.

Concluzii practice

Dacă organizația ta se găsește vreodată negociind cu operatorii de ransomware sau dacă pur și simplu dorești să înțelegi cum se desfășoară aceste incidente, câteva lecții se desprind din cazul Martino:

  • Verifică cu atenție furnizorii de răspuns la incidente și întreabă cum își monitorizează propriul personal pentru conflicte de interese în timpul negocierilor active.
  • Solicită transparență cu privire la cine are acces la detaliile sensibile ale negocierii, inclusiv limitele financiare și informațiile de asigurare.
  • Ia în considerare o supraveghere independentă sau un al doilea punct de contact atunci când sunt implicate cereri mari de răscumpărare, în loc să te bazezi exclusiv pe relatarea unui singur negociator despre proces.
  • Rămâi informat despre cum funcționează cu adevărat negocierea ransomware, deoarece înțelegerea stimulentelor în joc ajută organizațiile să pună întrebări mai bune înainte, nu după, producerea unui atac.

Condamnarea unui negociator de ransomware pentru trădarea propriilor clienți este un caz extrem, dar evidențiază un adevăr simplu: încrederea într-o criză trebuie câștigată și verificată, nu presupusă.