Arestarea unui cunoscut negociator de ransomware, relatată de Dark Reading, a ridicat o întrebare incomodă pentru orice organizație care a trebuit vreodată să planifice pentru o breșă: ce se întâmplă atunci când persoana pe care o angajezi pentru a trata cu atacatorii lucrează pentru cealaltă parte? Cazul este un memento clar că verificarea amenințărilor din interior privind negociatorii de ransomware trebuie să facă parte din fiecare plan de răspuns la incidente, nu doar din controalele tehnice din jurul acestuia.
Articolul sursă formulează lecția ca pe o nevoie de supraveghere mai strictă a programelor pentru furnizori. Această postare analizează modul în care funcționează negocierea, ce dezvăluie arestarea și ce pot face întreprinderile mici și utilizatorii preocupați de confidențialitate în legătură cu aceasta.
Cum funcționează de fapt extorcarea prin ransomware și negocierea
Când o companie este lovită de ransomware, unul dintre primele apeluri este adesea către un negociator profesionist. Sarcina lor este să comunice cu atacatorii, să evalueze situația și să încerce să reducă daunele. Ei acționează ca un tampon între victimele panicate și criminalii care pot cere plată pentru a restabili sistemele sau pentru a păstra datele furate confidențiale.
Această înțelegere funcționează doar dacă victima are încredere deplină în intermediar. Negociatorul vede cererea de răscumpărare, află ce date au fost luate și adesea înțelege cât de mult își poate permite victima să plătească și cât de urgent are nevoie de sisteme înapoi. Victimele au de obicei puțină capacitate de a verifica independent oricare dintre acestea. Se află în criză, cu timp puțin și se bazează pe expertiza negociatorului.
Extorcarea devine, de asemenea, mai greu de gestionat. Un sondaj global relatat de The Register a constatat că 37% dintre atacurile de ransomware includ acum amenințări personale, fie psihologice, fie fizice. Pe măsură ce presiunea asupra victimelor crește, crește și dependența acestora de persoanele care le ghidează.
Ce dezvăluie arestarea negociatorului despre riscul intern
Cea mai mare parte a planificării de securitate se concentrează pe atacatorii externi și, într-o măsură mai mică, pe angajați. Furnizorii terți sunt adesea tratați ca fiind de încredere în mod implicit, în special specialiștii aduși în timpul unei urgențe. Arestarea arată slăbiciunea acestei presupuneri. Un intermediar cu acces la negocieri sensibile deține o poziție de pârghie enormă, iar dacă interesele acelei persoane diverg de cele ale clientului, clientul poate să nu afle niciodată.
Aceasta nu este o îngrijorare pur ipotetică. Cobertura related pe vpn.social detaliază cum un fost negociator DigitalMint a primit 70 de luni pentru o înțelegere BlackCat, iar un raport separat acoperă cum negociatorul Martino a fost condamnat la 70 de luni pentru legături cu BlackCat. Acele articole acoperă detaliile concrete ale cazului și subliniază punctul mai larg: relația cu negociatorul depinde de o încredere care este rareori auditată.
Concluzia din relatarea Dark Reading nu este că toți negociatorii sunt suspecte. Este că un furnizor cu atât de mult acces merită aceeași verificare ca orice alt insider cu risc ridicat.
La ce sunt expuse victimele și datele lor atunci când un furnizor este compromis
Dacă un negociator sau alt furnizor de răspuns este compromis sau acționează împotriva clientului, expunerea se poate extinde mult dincolo de răscumpărare în sine. Pe baza rolului pe care îl joacă un negociator, domeniile de îngrijorare includ:
- Strategia de negociere: bugetul victimei, termenele limită și disponibilitatea de a plăti sunt toate vizibile pentru intermediar.
- Detalii despre datele furate: negociatorii află de obicei ce a fost luat, ceea ce contează pentru oricine ale cărui informații personale se aflau în acele fișiere.
- Luarea deciziilor: sfaturile privind plata, amânarea sau respingerea modelează rezultatul pentru companie și pentru persoanele afectate.
- Comunicațiile: fiecare mesaj către și de la atacatori trece prin negociator.
Pentru indivizi, riscul este indirect, dar real. Clienții, pacienții și angajații ale căror date se află în interiorul unei organizații compromise nu au niciun cuvânt de spus în privința furnizorului ales, dar suportă consecințele dacă această alegere merge prost.
Cum să verifici furnizorii de răspuns la breșe înainte de a avea nevoie de ei
Cel mai bun moment pentru a evalua un negociator sau o firmă de răspuns la incidente este înainte de un atac, când poți pune întrebări calm. Articolul sursă solicită o supraveghere mai strictă a programelor pentru furnizori, iar acești pași sunt o modalitate practică de a aplica această idee. Sunt bune practici generale, nu cerințe derivate din caz.
- Alege-ți furnizorii în avans. Selectarea unei firme sub presiune nu lasă loc pentru due diligence. Construiește o listă scurtă verificată ca parte a planului tău de răspuns la incidente.
- Întreabă despre controalele interne. Cum își verifică firma propriul personal? Cine poate accesa negocierile cu clienții și acest acces este înregistrat și revizuit?
- Pune așteptările în scris. Contractele ar trebui să acopere confidențialitatea, conflictele de interese și divulgarea oricăror relații cu actorii de amenințare sau alte părți.
- Menține o a doua pereche de ochi asupra deciziilor. Asigură-te că propria conducere, consilierul juridic sau asigurătorul tău revizuiesc deciziile majore în loc să le lase pe seama unei singure persoane.
- Limitează partajarea datelor. Oferă furnizorilor doar ceea ce au nevoie și păstrează evidența a ceea ce au primit.
- Revizuiește relația în mod regulat. Tratează furnizorii de răspuns ca parte a programului tău de risc terț, cu verificări periodice în loc de o aprobare unică.
Ce înseamnă acest lucru pentru tine
Dacă conduci o afacere mică, este posibil să nu ai o echipă dedicată de securitate, ceea ce face încrederea în furnizori și mai importantă. Întreabă-ți asigurătorul cibernetic sau furnizorul IT cu ce firme de răspuns lucrează și află cum sunt supravegheate acele firme. Câteva întrebări puse acum costă mult mai puțin decât o decizie proastă luată în mijlocul crizei.
Dacă ești o persoană fizică, pasul practic este să limitezi ce dețin organizațiile despre tine. Partajează doar datele de care un serviciu are cu adevărat nevoie, folosește parole unice și autentificare multi-factor și fii atent la notificările de breșă pentru a putea acționa rapid dacă informațiile tale sunt expuse. Nu poți verifica furnizorul de răspuns la incidente al unei companii, dar poți reduce daunele dacă ceva merge prost.
Concluzii cheie
Arestarea unui cunoscut negociator de ransomware este un memento că intermediarii pot reprezenta un risc intern și că verificarea amenințărilor din interior privind negociatorii de ransomware ar trebui să stea alături de copiile de rezervă și aplicarea patch-urilor în planul tău de pregătire. Alege furnizorii înainte de o criză, pune întrebări dificile despre controalele lor și menține o supraveghere independentă a deciziilor majore.
Pentru detalii concrete ale cazului, citește cobertura noastră despre negociatorul condamnat ex-DigitalMint. Pentru a vedea de ce încrederea în furnizori contează și mai mult pe măsură ce extorcarea escaladează, consultă sondajul privind amenințările personale în atacurile de ransomware.
