Un insider de încredere s-a întors împotriva propriilor clienți

Când o companie este lovită de un atac ransomware, de obicei apelează la un negociator, o persoană a cărei sarcină este să comunice cu atacatorii, să evalueze situația și să încerce să reducă daunele. Această relație depinde în întregime de încredere. Un fost negociator de la firma de răspuns la incidente DigitalMint tocmai a demonstrat ce se întâmplă când acea încredere este trădată.

Angelo Martino, în vârstă de 41 de ani, a fost condamnat la 70 de luni de închisoare federală pentru conspirație cu grupul ransomware BlackCat (cunoscut și sub numele de ALPHV), în timp ce lucra ca negociator, reprezentând aparent interesele victimelor. În loc să își apere în mod real clienții, Martino și-a folosit poziția pentru a transmite informații înapoi chiar către infractorii pe care clienții săi încercau să-i respingă, conform relatărilor Help Net Security. Cazul, detaliat suplimentar în articolul nostru anterior despre condamnarea de 70 de luni a negociatorului DigitalMint, evidențiază o amenințare la care majoritatea victimelor ransomware nu se gândesc niciodată: persoana angajată să le protejeze.

De ce negociatorii de ransomware dețin atât de multe date sensibile

Negociatorii de ransomware ocupă o poziție unic privilegiată. Pentru a-și face treaba eficient, de obicei au nevoie de acces la detalii pe care majoritatea angajaților din organizația victimă nu le văd niciodată: amploarea breșei, ce date au fost furate, câtă acoperire de asigurare cibernetică are compania și cât este dispusă sau capabilă să plătească în mod realist. Aceste informații sunt aur pentru un atacator. Cunoașterea limitelor de asigurare ale victimei, de exemplu, permite unui grup ransomware să își calibreze cererea de răscumpărare pentru a stoarce plata maximă posibilă.

Tocmai acest lucru face cazul Martino notabil din punct de vedere al confidențialității. Nu a fost vorba de un hacker extern care sparge sistemele unei companii. A fost un insider, cineva adus special datorită accesului sensibil pe care rolul său îl impunea, care se presupune că a folosit acel acces împotriva persoanelor care l-au angajat. Firmele de răspuns la incidente și negociere există pentru că majoritatea organizațiilor nu au abilitățile specializate pentru a gestiona o criză ransomware intern. Această dependență de experți externi este rezonabilă și adesea necesară, dar înseamnă, de asemenea, că victimele acordă încredere unei terțe părți cu o capacitate minimă de a verifica independent dacă acea încredere este justificată.

Ecosistemul ransomware mai larg obligă deja victimele să facă compromisuri dificile privind confidențialitatea. Plata unei răscumpărări nu garantează că datele furate vor fi șterse, iar negocierea cu bună-credință presupune că cealaltă parte, și toți cei care te sfătuiesc, acționează de asemenea cu bună-credință. Un caz ca acesta subminează această presupunere într-un mod care ar putea face victimele mai ezitante să dezvăluie complet informații chiar profesioniștilor meniți să le ajute, putând încetini răspunsul la incident în momentul cel mai critic.

Ce înseamnă asta pentru tine

Majoritatea cititorilor nu vor angaja niciodată personal un negociator de ransomware, dar lecția de bază se aplică pe scară largă: furnizorii terți cu acces la datele tale sensibile sunt doar la fel de demni de încredere ca veriga cea mai slabă din organizația acelui furnizor. Fie că este o casă de avocatură, un contractor de răspuns la incidente, un furnizor de cloud sau orice companie care manipulează informațiile tale personale sau financiare, securitatea acelei relații depinde de controale interne pe care nu le poți vedea din exterior.

Pentru companii, acest caz este un memento să pună întrebări dificile înainte și în timpul unui incident ransomware. Cine din cadrul firmei de negociere are acces la detaliile de asigurare și autoritatea de plată? Există controale interne care împiedică un singur angajat să comunice direct cu actorii amenințărilor fără supraveghere? Sunt conversațiile înregistrate și revizuite? Acestea nu sunt întrebări la care majoritatea companiilor se gândesc să le pună în mijlocul unei crize, dar ar trebui să facă parte din diligența prealabilă înainte de a avea loc o breșă, nu după.

Pentru persoane fizice, concluzia este mai indirectă, dar totuși relevantă. Când o companie cu care faci afaceri suferă un atac ransomware, gestionarea acelui incident, inclusiv cine are acces la datele tale compromise în timpul negocierilor, este în mare parte în afara controlului tău. Acesta este încă un motiv pentru a minimiza cantitatea de date personale sensibile pe care le partajezi cu o singură organizație în primul rând și pentru a folosi instrumente precum managerii de parole și autentificarea multi-factor, astfel încât o singură breșă să nu se extindă într-o compromitere mai amplă a conturilor.

Sfaturi pentru a rămâne în fața riscului insider

Această condamnare transmite un semnal clar că trădarea insider în timpul unui răspuns la ransomware atrage consecințe legale grave, dar prevenția contează mai mult decât pedeapsa după consumarea faptei. Dacă organizația ta colaborează cu firme de răspuns la incidente sau de negociere, insistă asupra controalelor de acces documentate, supravegherea independentă a negocierilor și responsabilitatea contractuală clară. Dacă ești o persoană afectată de o breșă la o companie în care ai încredere, tratează notificările cu seriozitate, schimbă parolele refolosite și monitorizează conturile legate de acea organizație.

Cazul Martino va fi probabil citat ani de zile ca un exemplu de avertizare în domeniul negocierii ransomware. Pentru toți ceilalți, este un memento util că încrederea într-o criză trebuie câștigată și verificată, nu presupusă.