Un negociator de încredere lucra pentru atacatori

Atunci când o companie este lovită de un atac ransomware, unul dintre primele apeluri se face adesea către un negociator profesionist, angajat să reducă cererea de răscumpărare, să câștige timp și să acționeze ca un tampon între directorii panicați și hackerii infractori. Acest sistem depinde în totalitate de încredere. O sentință federală recentă arată ce se întâmplă când această încredere este trădată din interior.

Un negociator de ransomware a fost condamnat la 70 de luni de închisoare federală, după ce procurorii au descoperit că acesta a conspirat în secret cu grupul de ransomware BlackCat (cunoscut și sub numele de ALPHV), în timp ce pretindea că reprezintă victimele. În loc să protejeze companiile care l-au angajat, se presupune că acesta le-a transmis atacatorilor detalii sensibile, inclusiv informații despre acoperirea asigurării și limitele de plată ale clienților, oferindu-le infractorilor pârghii pentru a cere mai mulți bani și a exercita presiuni mai eficient. Ca parte a sentinței, acesta pierde, de asemenea, criptomonede legate de schema respectivă.

Cazul a identificat cel puțin cinci organizații victimă, inclusiv o companie de dispozitive medicale din Florida, care a primit inițial o cerere de răscumpărare de 10 milioane de dolari, plătind în cele din urmă aproximativ 1,2 milioane de dolari, o companie farmaceutică din Maryland și un cabinet medical. Întreaga amploare a schemei s-ar fi intersectat și cu luptele interne dintre grupările rivale de ransomware, un grup amenințând că va dezvălui operațiunile celuilalt – o reamintire că nici măcar ecosistemele infracționale nu sunt imune la conflicte interne și trădare.

Cum a subminat schema victimele

Negociatorii de ransomware ocupă o poziție deosebit de sensibilă. Pentru a-și face treaba, aceștia au nevoie, de regulă, de acces la informații pe care majoritatea companiilor nu le-ar încredința niciodată unui străin: câți bani lichizi sunt disponibili, ce acoperă cu exactitate polița de asigurare cibernetică, termenele limită interne și cât de disperată este conducerea pentru a rezolva situația în liniște. Aceste informații ar trebui să rămână confidențiale și să fie folosite doar pentru a proteja interesele clientului pe durata negocierii.

Atunci când un negociator transmite însă aceste informații atacatorilor, întregul proces de răspuns la incident este compromis încă dinainte de a începe cu adevărat. Victimele cred că negociază dintr-o poziție de strategie informată, când, în realitate, cealaltă parte le cunoaște deja plafonul financiar. Acest dezechilibru explică, probabil, de ce cererile din aceste cazuri au escaladat atât de agresiv și de ce solicitarea inițială a companiei de dispozitive medicale a fost de opt ori mai mare decât ceea ce a plătit în final.

Acesta nu este un incident izolat. Așa cum am relatat în articolul despre un negociator de ransomware din Florida condamnat într-un caz separat de extorcare din SUA, autoritățile au identificat acum mai mulți negociatori legați de aceeași rețea de extorcare afiliată BlackCat. Tiparul sugerează că nu a fost o trădare singulară, ci un efort deliberat, cel puțin parțial organizat, de a exploata industria de răspuns la incidente din interior.

Implicații asupra confidențialității pentru victimele breșelor

Consecințele asupra vieții private depășesc cu mult sumele răscumpărărilor. Companiile de dispozitive medicale, firmele farmaceutice și cabinetele medicale dețin în mod curent date sensibile ale pacienților și informații despre sănătate. Atunci când un negociator lucrează în secret împotriva intereselor victimei, se ridică întrebări reale cu privire la ce alte informații sensibile ar fi putut fi expuse, gestionate greșit sau folosite ca pârghie suplimentară în timpul procesului de extorcare. Companiile care activează în domeniul sănătății și în alte sectoare reglementate sunt deja obligate să protejeze datele pacienților în baza unor obligații stricte de confidențialitate, iar o trădare din interior în timpul unui incident ransomware complică fiecare decizie ulterioară, inclusiv dacă și cum ar trebui notificate persoanele afectate.

Aceasta evidențiază, de asemenea, un punct nevralgic pe care multe organizații nu îl iau în considerare până când este prea târziu: furnizorii de servicii de răspuns la incidente, inclusiv negociatorii, firmele de investigație digitală și chiar consultanții juridici cooptați în timpul unei breșe, sunt rareori verificați cu aceeași rigurozitate aplicată altor riscuri terțe. O companie poate efectua o diligență amplă asupra unui furnizor de cloud sau a unui distribuitor de software, dar să aducă un negociator în timpul unei crize bazându-se în mare măsură pe reputație sau pe urgență.

Ce înseamnă asta pentru tine

Dacă organizația ta are vreodată nevoie să angajeze un negociator de ransomware sau o firmă de răspuns la incidente, acest caz este un motiv să încetinești, nu să intri în panică. Verifică acreditările în mod independent, în loc să te bazezi exclusiv pe recomandările asigurătorului sau pe un singur punct de contact. Pune întrebări directe despre modul în care informațiile clienților sunt gestionate, stocate și partajate și insistă asupra unor limite documentate cu privire la ceea ce negociatorul poate și nu poate dezvălui. Dacă polița ta de asigurare cibernetică impune o listă specifică de furnizori, revizuiește acea listă proactiv, înainte să aibă loc un atac, în loc să improvizezi în timpul unui incident activ, când atât pârghiile de negociere, cât și judecata sunt compromise.

Pentru persoane fizice, concluzia este mai simplă, dar la fel de importantă: dacă ești notificat că un furnizor de servicii medicale, o farmacie sau o companie de dispozitive medicale cu care ai interacționat a suferit un incident ransomware, ia notificarea în serios, chiar dacă organizația spune că expunerea datelor a fost limitată. Cazuri ca acesta arată că gestionarea internă a unei breșe poate fi mult mai dezordonată decât sugerează declarațiile publice.

Concluzii

Această condamnare este un exemplu rar și concret al modului în care rolul negociatorului de ransomware, construit în întregime pe confidențialitate și încredere, poate fi transformat într-o armă împotriva tocmai organizațiilor pe care ar trebui să le protejeze. Verifică furnizorii de răspuns la incidente înainte să lovească o criză, stabilește limite clare de partajare a informațiilor în orice contract și amintește-ți că pârghia unui negociator de ransomware depinde de păstrarea secretului de partea ta, nu de partea atacatorului.