Ce s-a întâmplat: negociatorul care lucra pentru ambele părți

Atunci când o companie este lovită de un ransomware, unul dintre primele telefoane pe care le dă este către un negociator: un specialist în care se are încredere că va sta între o victimă panicată și o bandă criminală, lucrând pentru a reduce cererea de răscumpărare sau pentru a câștiga timp pentru recuperare. Această relație se bazează în întregime pe încredere. Conform relatărilor de la Malwarebytes, un astfel de negociator a trădat această încredere în cel mai dăunător mod cu putință. În loc să ajute victimele să respingă banda de ransomware BlackCat, acesta le-a furnizat pe ascuns infractorilor informații din interiorul negocierilor pe care ar fi trebuit să le gestioneze în numele victimelor.

Rezultatul a fost un scenariu de amenințare internă din partea unui negociator de ransomware care a costat victimele milioane. În loc să acționeze ca un firewall între o companie și atacatorul său, negociatorul a devenit efectiv un al doilea atacator, unul cu acces privilegiat la limitele financiare ale victimei, la strategia juridică și la disponibilitatea de a plăti. Acesta este un eșec al răspunsului la incident aproape maxim, deoarece transformă însăși măsura de siguranță pentru care organizațiile plătesc într-o vulnerabilitate.

Cum recrutează bandele de tip ransomware-as-a-service intermediari de încredere

BlackCat, cunoscut și sub numele de ALPHV, funcționează ca un grup de tip ransomware-as-a-service (RaaS), ceea ce înseamnă că licențiază malware-ul și infrastructura sa către afiliați care efectuează atacuri și împart profiturile. Acest model de afaceri s-a bazat întotdeauna pe construirea de rețele de oameni dispuși să coopereze pentru o parte din venituri, de la brokeri de acces inițial care vând credențiale furate până la afiliați care implementează efectiv payload-ul de criptare. Un negociator compromis sau complice este pur și simplu următoarea extensie logică a acelei rețele: cineva integrat în ecosistemul legitim de răspuns la incidente care poate împărtăși informații pe care banda nu le-ar putea obține niciodată singură.

Tocmai de aceea, acest caz contează dincolo de BlackCat în sine. Bandele de ransomware înțeleg din ce în ce mai mult că veriga cea mai slabă într-un răspuns la o breșă nu este întotdeauna un firewall sau un server neactualizat. Poate fi o persoană și, în mod specific, o persoană pe care victima a ales să se încreadă în cel mai stresant moment al unui incident de securitate. Același principiu al exploatării încrederii și a accesului apare pe tot peisajul ransomware și al extorcării de date, inclusiv în incidente precum breșa ShinyHunters a sistemelor de HR ale Consiliului Europei, unde atacatorii au demonstrat din nou cât de eficient pot grupurile infracționale să exploateze accesul intern odată ce găsesc o cale de intrare.

De ce extinde acest lucru suprafața de atac pentru victimele breșelor

Majoritatea organizațiilor se gândesc la riscul de ransomware în termenii propriei rețele: endpoint-uri, servere, copii de siguranță, instruirea angajaților. Mult mai puține se gândesc la riscul introdus de furnizorii și consultanții pe care îi aduc după ce un atac a început deja. Însă un negociator, ca un investigator forensic sau un coach de breșă, are adesea acces la unele dintre cele mai sensibile informații pe care o companie le deține în timpul unei crize: suma de răscumpărare pe care victima este pregătită să o plătească, ce date au fost efectiv furate și cât de disperată este organizația să evite divulgarea publică.

Atunci când acest acces este abuzat, prejudiciul se amplifică. Victimele nu doar că pierd bani din cauza răscumpărării în sine, ci pierd orice pârghie pe care o aveau în negocieri, deoarece banda le cunoaște deja limita maximă înainte ca discuțiile să înceapă. Acest caz este un memento că lanțul de aprovizionare al răspunsului la incidente merită aceeași analiză atentă ca orice altă relație cu furnizorii și că încrederea în timpul unei crize nu ar trebui niciodată presupusă doar pentru că cineva are titlul profesional potrivit.

Cum să verificați respondenții la incidente și negociatorii înainte să lovească o criză

Cel mai bun moment pentru a verifica un negociator de ransomware sau o firmă de răspuns la incidente este înainte să aibă loc un atac, nu în timpul unuia, când presiunea temporală face ca o diligență atentă să fie aproape imposibilă. Organizațiile pot lua câțiva pași concreți:

  • Confirmați istoricul firmei și solicitați referințe de la clienți anteriori care au trecut prin incidente similare.
  • Întrebați cum își verifică firma propriul personal, inclusiv verificări ale antecedentelor și controale interne privind cine poate accesa detaliile negocierii.
  • Insistați asupra unor jurnale de comunicare documentate și auditabile în timpul oricărei negocieri, în loc să vă bazați exclusiv pe un singur punct de contact.
  • Implicați un consilier juridic extern sau un al doilea consilier de securitate pentru a verifica independent deciziile majore, cum ar fi sumele de răscumpărare sau momentul plății.
  • Stabiliți aceste relații și contracte cu furnizorii din timp, ca parte a unui contract de retenție pentru răspunsul la incidente, în loc să vă zbateți să găsiți ajutor în mijlocul unei breșe.

Ce înseamnă acest lucru pentru dumneavoastră

Dacă organizația dumneavoastră are un plan de răspuns la ransomware, acest caz este un bun prilej de a revedea cine se află efectiv în acel plan și cât de bine îi cunoașteți. O amenințare internă din partea unui negociator de ransomware este rară, dar consecințele sunt suficient de grave încât un efort modest de verificare prealabilă merită făcut. Aceeași logică se aplică oricărei terțe părți cu acces privilegiat în timpul unei breșe: investigatorii forensic, consilierii juridici și firmele de relații publice merită aceeași analiză pe care ați aplica-o unui nou furnizor de software.

Concluzii esențiale

  • Verificați firmele de răspuns la incidente și negociere înaintea unei crize, inclusiv verificări ale antecedentelor personalului și referințe.
  • Solicitați jurnale documentate și auditabile ale tuturor negocierilor de răscumpărare, în loc să vă bazați pe un singur individ de încredere.
  • Tratați respondenții terți ca parte a suprafeței dumneavoastră de atac, nu doar a apărării.
  • Rămâneți informat cu privire la modul în care grupurile de ransomware și extorcare exploatează încrederea în fiecare etapă a unei breșe, de la accesul inițial până la negocierea finală.