Переговорщик по программам-вымогателям должен быть тем самым человеком, который борется за интересы жертвы. Это доверие было разрушено в деле Анджело Мартино, бывшего переговорщика компании по реагированию на инциденты DigitalMint, приговорённого к 70 месяцам федерального тюремного заключения за тайную передачу конфиденциальной информации клиентов банде вымогателей BlackCat — тем самым злоумышленникам, с которыми его наняли вести переговоры.

Приговор завершает одну из самых тревожных глав в недавней истории программ-вымогателей: случай, когда предполагаемый защитник играл на обе стороны переговорного стола.

Доверенный инсайдер становится предателем

Когда бизнес подвергается атаке вымогательского ПО, звонок профессиональному переговорщику часто становится одним из первых — сразу после обращения в правоохранительные органы и к юристам. Таких специалистов привлекают именно потому, что жертвы охвачены паникой, технически перегружены и отчаянно пытаются избежать дальнейшего ущерба. Хороший переговорщик должен тянуть время, оспаривать завышенные требования и в конечном счёте снизить выкуп до уровня, который жертва может пережить, если платёж вообще состоится.

Роль Мартино в DigitalMint поместила его прямо в такие отношения. Согласно материалам расследования, он использовал доступ к сведениям о клиентах — включая информацию о том, под каким давлением находятся жертвы и сколько они могут быть готовы заплатить, — чтобы помогать операторам BlackCat выжимать более крупные выплаты, а не меньшие. Фактически он перевернул работу переговорщика с ног на голову, стремясь максимизировать вред тем самым клиентам, которые наняли его для защиты.

Как ранее сообщал vpn.social, такая схема целиком держалась на допущении, что лояльность переговорщика направлена только в одну сторону. Поведение Мартино разрушило это допущение, и это потрясло индустрию реагирования на инциденты.

Как работала схема двойного агента

Механика схемы была простой, но разрушительной. Передавая конфиденциальные подробности, страховую информацию, стратегию переговоров или сведения о том, сколько организация-жертва реально может заплатить, Мартино давал атакующим BlackCat несправедливое преимущество в каждых переговорах, к которым имел отношение. Вместо того чтобы требования выкупа сокращались под его якобы адвокацией, их незаметно конструировали так, чтобы они росли.

И это не было единичным случаем. В сопутствующих материалах дела, включая репортаж о более широкой схеме с участием переговорщика BlackCat, отмечается, что Мартино был не единственным переговорщиком, замешанным в подобных действиях, связанных с той же вымогательской операцией. Отдельное дело, касающееся переговорщика из Флориды, осуждённого по связанной вымогательской схеме, подчёркивает, что это был не разовый провал в суждении одного злоумышленника, а закономерность, эксплуатировавшая структурное доверие, встроенное в индустрию реагирования на инциденты.

70-месячный срок отражает серьёзность, с которой федеральные прокуроры отнеслись к предательству: это была не простая халатность или сбой в безопасности, а инсайдер, сознательно работавший против людей, доверивших ему свою веру и свои конфиденциальные данные.

Что это значит для вас

Большинству людей это дело может показаться далёким от повседневной жизни, но оно затрагивает то, что должно волновать каждого: насколько мы доверяем посредникам, обрабатывающим наши самые чувствительные данные во время кризиса. Переговорщики по программам-вымогателям занимают уникально привилегированное положение. Они видят внутренние финансовые детали, пробелы в безопасности и коммуникации, которые организация-жертва никогда не хотела бы предавать огласке.

Когда это доверие подрывается, последствия выходят за пределы непосредственно пострадавших компаний. Сотрудники, клиенты и все, чьи персональные данные хранились в скомпрометированных системах, могут заплатить дважды: один раз — из-за первоначальной атаки вымогателей, и ещё раз — из-за того, что процесс переговоров тайно работал против них.

Это дело напоминает, что конфиденциальность и безопасность в инциденте с вымогательским ПО не заканчиваются в момент найма специалиста. Надзор, проверка и независимый аудит поведения переговорщика важны не меньше, чем само первоначальное реагирование на атаку.

Практические выводы

Если ваша организация когда-либо окажется вынуждена вести переговоры с операторами-вымогателями — или если вы просто хотите понимать, как разворачиваются подобные инциденты, — из дела Мартино можно извлечь несколько уроков:

  • Тщательно проверяйте поставщиков услуг по реагированию на инциденты и спрашивайте, как они контролируют собственный персонал на предмет конфликта интересов во время активных переговоров.
  • Требуйте прозрачности в отношении того, кто имеет доступ к конфиденциальным деталям переговоров, включая финансовые лимиты и страховую информацию.
  • Рассмотрите возможность независимого надзора или участия второго контактного лица, когда запрашиваются крупные суммы выкупа, вместо того чтобы полагаться исключительно на отчёт одного переговорщика о процессе.
  • Информируйтесь о том, как на самом деле работают переговоры с вымогателями, ведь понимание действующих стимулов помогает организациям задавать правильные вопросы до, а не после атаки.

Вынесение приговора переговорщику по программам-вымогателям за предательство собственных клиентов — экстремальный случай, но он высвечивает простую истину: доверие в кризисной ситуации нужно заслужить и проверить, а не принимать как данность.