Negociatorul DigitalMint, condamnat la 70 de luni pentru trădarea grupării BlackCat

Un insider de încredere transformat în complice

Când o companie cade victimă unui atac ransomware, de obicei apelează la un negociator specializat care să gestioneze conversația delicată și cu mize uriașe cu atacatorii. Exact acesta era rolul lui Angelo Martino, 41 de ani, la DigitalMint, o firmă care ajută organizațiile să navigheze incidentele de ransomware și să negocieze plățile în numele lor. Martino era adus în timpul cazurilor active de breșă, stând de partea menită să protejeze victimele.

În schimb, potrivit documentelor din instanță, Martino lucra în secret cu afiliați ai grupării ransomware BlackCat (cunoscută și sub numele de ALPHV), una dintre cele mai notorii operațiuni de extorcare din ultimii ani. În loc să apere interesele clienților săi, se presupune că le transmitea atacatorilor informații confidențiale din interiorul negocierilor pe care ar fi trebuit să le poarte în numele victimelor. Se pare că aceste informații din interior i-au ajutat pe infractori să obțină plăți mai mari, rapoartele indicând că schema a contribuit la extorcarea a aproximativ 75 de milioane de dolari de la organizațiile victime, în mai multe cazuri. Martino a pledat vinovat și a fost condamnat la 70 de luni de închisoare federală.

Cum a subminat schema negocierea în cazurile de ransomware

Negocierea în cazurile de ransomware există pentru că firmele care se confruntă cu un atac nu au adesea expertiza specializată necesară pentru a comunica cu grupările infracționale, pentru a evalua credibilitatea amenințărilor sau pentru a stabili dacă plata unei răscumpărări este măcar recomandabilă. Firme precum DigitalMint ar trebui să acționeze ca un paravan, folosindu-și experiența pentru a reduce cererile, a verifica capacitatea de recuperare a datelor și a împiedica exploatarea repetată a victimelor.

Cazul Martino răstoarnă acest model. Prin divulgarea unor detalii sensibile din negocierile active, inclusiv informații interne despre clienți, praguri financiare și poziția de negociere a victimei, el le-a pus efectiv afiliaților BlackCat la dispoziție manualul de care aveau nevoie pentru a forța plăți maxime. Aceasta este o trădare profundă a încrederii, nu doar între Martino și angajatorul său, ci și între angajatorul său și fiecare client care a presupus că echipa de răspuns la criză lucrează exclusiv pentru ei.

Acest tip de complicitate din interior este deosebit de dăunătoare, deoarece victimele ransomware se află deja într-o poziție vulnerabilă. Ele sunt adesea sub presiunea de a lua decizii rapide cu privire la date sensibile, timpii de nefuncționare operațională și expunerea la reglementări. Cazuri precum plata răscumpărării de către Instructure după breșa Canvas arată cum organizațiile ajung uneori la concluzia că plata este cea mai puțin dăunătoare opțiune disponibilă. Atunci când negociatorul care gestionează această decizie are un stimulent financiar să lucreze împotriva victimei, întregul calcul folosit pentru a justifica o plată devine compromis.

De ce acest caz ridică probleme mai mari de confidențialitate pentru companii

Implicațiile pentru confidențialitate depășesc cu mult pierderile financiare imediate. Negocierile de ransomware implică de obicei partajarea de materiale extrem de sensibile: amploarea datelor furate, evaluări interne de securitate, comunicări la nivel executiv și detalii despre ceea ce o companie este dispusă să plătească. Victimele partajează aceste informații pornind de la premisa că rămân într-un cerc restrâns și strict controlat de respondenți de încredere.

Acțiunile lui Martino demonstrează că ecosistemul de răspuns la incidente poate deveni el însuși un punct vulnerabil. Chiar și organizațiile care fac totul corect după o breșă – angajând firme de renume, urmând protocoalele recomandate și cooperând cu autoritățile – pot avea totuși datele și poziția de negociere subminate din interior. Aceasta oglindește tacticile de presiune întâlnite în alte campanii de extorcare de mare anvergură, cum ar fi tacticile escaladate folosite când ShinyHunters a defăimat portalurile școlare în timpul campaniei de răscumpărare Canvas, unde atacatorii s-au bazat pe umilirea publică și pe pârghiile oferite de date pentru a forța o rezolvare.

Ce înseamnă asta pentru tine

Dacă organizația ta se află vreodată în situația de a negocia cu o grupare ransomware, acest caz este un memento că procesul de selecție a furnizorilor merită la fel de multă atenție ca și instrumentele de securitate cibernetică. Întreabă potențialele firme de negociere despre controalele interne, verificarea angajaților și modul în care datele clienților sunt segmentate și monitorizate în timpul unui caz activ. Solicită claritate cu privire la cine are acces la detaliile negocierii și dacă vreo persoană deține o autoritate necontrolată asupra comunicațiilor cu atacatorii.

Pentru persoanele fizice și întreprinderile mici care nu dispun de resursele necesare pentru o verificare amplă a furnizorilor, concluzia este mai generală: reduceți la minimum datele sensibile care ar putea fi expuse în primul rând. Practici solide de backup, segmentarea rețelei și limitarea cantității de date personale sau financiare stocate în sisteme ușor accesibile reduc toate pârghiile pe care o grupare ransomware sau un insider compromis le poate exercita asupra ta.

Puncte cheie de reținut

• Verifică firmele de răspuns la incidente și negociere cu aceeași rigurozitate pe care ai aplica-o oricărui furnizor care manipulează date sensibile.
• Întreabă cum monitorizează și auditează intern firmele de negociere accesul angajaților în timpul cazurilor active de ransomware.
• Reduce volumul de date sensibile stocate în sisteme vulnerabile la compromitere, deoarece o expunere mai mică înseamnă mai puține pârghii pentru atacatori sau insideri.
• Tratează negocierea în cazul ransomware ca pe o decizie care necesită o supraveghere proprie, nu ca pe o cutie neagră gestionată în întregime de o terță parte.

Cazul Martino este un exemplu rar, dar grav, de trădare din interior în industria răspunsului la ransomware. Nu înseamnă că firmele de negociere nu pot fi, în general, de încredere, dar subliniază că încrederea trebuie verificată, nu presupusă, mai ales atunci când sunt în joc cele mai sensibile detalii legate de o breșă a unei companii.