Un intermediar de încredere transformat în complice infracțional

Un bărbat din Florida care a lucrat ca negociator de ransomware a fost condamnat pentru că a ajutat un grup notoriu de ransomware să extorcheze companii americane, conform TechCrunch. El este al treilea negociator legat de această schemă care ajunge la închisoare, un detaliu care subliniază cât de profund s-au infiltrat unii așa-ziși profesioniști în răspunsul la incidente în operațiunile criminale pe care teoretic fuseseră angajați să le combată.

Negociatorii de ransomware servesc, de regulă, unui scop legitim. Când o companie este lovită de un ransomware, personalul IT intern sau consultanții externi aduc adesea un specialist pentru a comunica cu atacatorii, a verifica capacitățile de decriptare și a încerca să reducă cererea de răscumpărare. Acești negociatori ocupă un teren intermediar ciudat: au nevoie de suficientă familiaritate cu forumurile infracționale, sistemele de plată în criptomonede și canalele de comunicare de pe dark web pentru a fi eficienți, însă ar trebui să rămână ferm de partea victimei.

Acest caz arată ce se întâmplă când această limită este depășită. În loc să acționeze exclusiv în numele companiilor care îi plătesc serviciile, negociatorul condamnat ar fi lucrat în coordonare cu banda de ransomware în sine, contribuind la direcționarea victimelor către plată și, implicit, ajutând infractorii să profite de pe urma extorcării.

Cum exploatează bandele de ransomware instrumentele de anonimitate

Operațiunile de ransomware depind de un ecosistem stratificat de instrumente de anonimitate și criptare care au fost construite inițial în scopuri legitime de confidențialitate. Grupurile infracționale își direcționează comunicațiile prin rețele de anonimizare, folosesc mesageria criptată pentru a se coordona cu afiliații și solicită plata în criptomonede tocmai pentru că este mai greu de urmărit decât tranzacțiile bancare tradiționale.

Un negociator compromis sau complice adaugă un alt strat de ofuscare. Deoarece se așteaptă ca negociatorii să interacționeze cu actorii amenințării ca parte a muncii lor, comunicațiile lor se pot confunda cu activitatea obișnuită de răspuns la incidente, îngreunând depistarea coluziunii de către victime, asigurători și forțele de ordine. Acest caz ne reamintește că aceleași tehnologii de confidențialitate și criptare care îi protejează pe jurnaliști, activiști și utilizatorii obișnuiți de supraveghere pot fi, de asemenea, utilizate abuziv de actori rău intenționați care doresc să-și ascundă urmele. Instrumentele în sine sunt neutre; ceea ce contează este intenția din spatele utilizării lor.

Pentru utilizatorii obișnuiți de VPN și instrumente de confidențialitate, această distincție este importantă. Utilizarea criptării sau a anonimizării pentru a-ți proteja datele personale nu este același lucru cu utilizarea acestor instrumente pentru a facilita extorcarea. Serviciile de confidențialitate de încredere există pentru a proteja comunicarea și datele legitime, nu pentru a proteja întreprinderile criminale. Oricine este angajat să reprezinte o organizație victimă într-un incident de securitate poartă responsabilitatea de a acționa în interesul acelei organizații, nu de a servi în secret atacatorii.

Efectele în lanț ale extorcării prin ransomware

Atacurile de ransomware rareori rămân limitate la o singură companie. Organizațiile victime dețin adesea date sensibile ale clienților, iar când negocierile eșuează sau plățile nu opresc o scurgere de date, acele date pot ajunge expuse public. Breșa de date Humana care a expus date de sănătate în șase state ilustrează modul în care un singur incident de securitate la o companie se poate extinde pentru a afecta clienții din mai multe state, indiferent de originea breșei. Dosarele medicale, detaliile financiare și identificatorii personali sunt exact genul de date pe care bandele de ransomware amenință că le vor face publice dacă nu se plătește răscumpărarea, motiv pentru care autoritățile de reglementare și legislatorii s-au concentrat tot mai mult asupra modului în care companiile gestionează informațiile sensibile atât înainte, cât și după o breșă.

Această presiune de reglementare este în creștere. Statele au luat măsuri pentru a înăspri regulile de confidențialitate a datelor, așa cum s-a văzut cu Legea privind confidențialitatea datelor și supravegherea online din Vermont, iar litigiile au urmat breșelor de profil înalt, inclusiv efortul continuu din spatele procesului privind datele genetice 23andMe. Aceste cazuri arată că repercusiunile unui incident de ransomware sau ale unei breșe de date se extind cu mult dincolo de atacul inițial, atingând dimensiuni legale, de reglementare și de încredere a consumatorilor ani de zile după aceea.

Ce înseamnă asta pentru tine

Dacă organizația ta este vreodată lovită de un ransomware, verificarea atentă a persoanelor pe care le aduci pentru ajutor contează enorm. Un negociator, o firmă de răspuns la incidente sau un consultant ar trebui să aibă acreditări verificabile, dezvăluiri clare ale conflictelor de interese și un proces transparent pentru modul în care comunică cu atacatorii. Pune întrebări directe despre istoricul lor și dacă au vreo relație financiară legată de plățile de răscumpărare în sine.

Pentru utilizatorii individuali, lecția este mai amplă: instrumentele de confidențialitate precum VPN-urile și mesageria criptată există pentru a-ți proteja datele și comunicațiile de supravegherea nedorită, nu pentru a facilita schemele de extorcare. Înțelegerea acestei distincții ajută la separarea promovării legitime a confidențialității de utilizarea abuzivă infracțională și merită reținută data viitoare când titlurile de presă le confundă pe cele două.

Puncte esențiale

  • Verifică cu atenție orice negociator de ransomware sau firmă de răspuns la incidente înainte de a-i angaja în timpul unei breșe active.
  • Înțelege că bandele de ransomware se bazează pe instrumente de criptare și anonimitate construite în scopuri legitime de confidențialitate, iar utilizarea abuzivă nu reflectă asupra instrumentelor în sine.
  • Rămâi informat cu privire la modul în care incidentele de ransomware pot expune datele personale și monitorizează-ți propriile conturi dacă afli că o companie care deține informațiile tale a suferit o breșă.
  • Susține reglementări mai stricte privind confidențialitatea datelor la nivel de stat și federal, deoarece acestea influențează modul în care companiile trebuie să protejeze și să dezvăluie informațiile sensibile după un incident.

Această condamnare ne reamintește că lupta împotriva ransomware-ului se extinde dincolo de apărările tehnice. Ea depinde, de asemenea, de integritatea persoanelor și firmelor în care victimele au încredere pentru a le ajuta să treacă printr-o criză.