Новость о том, что переговорщик по программам-вымогателям, арестованный по обвинению в вымогательстве, является соучредителем фирмы, которую жертвы нанимают для помощи, встревожила индустрию, построенную на доверии. Эдвард Дубровский, соучредитель CYPFER, компании, которая ведёт переговоры с операторами программ-вымогателей, был арестован 8 октября в Пенсильвании. Пресс-сообщения связывают это дело с группировкой ShinyHunters, но ФБР эту связь не подтвердило.

В этом материале мы придерживаемся того, что было сообщено, отмечаем то, что остаётся неизвестным, и объясняем, почему эта история важна для организаций и частных лиц, которые однажды могут столкнуться с требованием выкупа.

Что мы знаем об аресте Дубровского

Подтверждённые факты ограничены. Дубровский — соучредитель CYPFER, фирмы, чья деятельность включает переговоры с операторами программ-вымогателей от имени жертв. Он был арестован 8 октября в Пенсильвании, и обвинения связаны с вымогательством.

Помимо этого, публичная информация скудна. В источниках, сообщающих о случившемся, не детализируются конкретные обвинения, хронология предполагаемых действий или то, пострадали ли какие-либо клиенты CYPFER. Арест — это не обвинительный приговор, и Дубровский имеет право на презумпцию невиновности. Читателям следует с осторожностью относиться к любым сообщениям, которые заполняют эти пробелы с уверенностью.

Что связь с ShinyHunters показывает, а что нет

Некоторые публикации в прессе связывают это дело с ShinyHunters — группировкой, известной кампаниями вымогательства. ФБР этого не подтвердило. Это различие важно.

Связь, установленная СМИ, может означать несколько вещей: журналист видел судебные документы, источник описал расследование или наблюдатели делают выводы из совпадения по времени. Ни одно из этого не равнозначно официальному заявлению следователей. Пока обвинительные документы или заявление ведомства не прояснят связь, её следует рассматривать как сообщённую ассоциацию, а не установленный факт.

Стоит также помнить, что сами группировки-вымогатели — ненадёжные рассказчики. Их заявления часто рассчитаны на то, чтобы оказывать давление на жертв, как показано в нашем материале о том, как заявления о взломе Carhartt были сокращены вдвое после проверки Троя Ханта. Скептицизм применим ко всем сторонам в подобной истории, включая анонимные источники.

Как работают фирмы по переговорам о программах-вымогателях и где кроются риски

Когда компания подвергается атаке программы-вымогателя, она часто обращается в фирму по реагированию на инциденты. Некоторые из этих фирм специализируются на коммуникации с атакующими: подтверждении того, какие данные были похищены, выигрывании времени и иногда переговорах о выплате. Жертвы обычно предоставляют таким фирмам глубокий доступ к конфиденциальным сведениям, включая масштаб компрометации, финансовые возможности организации и то, насколько срочно ей нужно вернуть системы.

Именно этот доступ и создаёт риск. Переговорщик находится между отчаявшейся жертвой и преступником, и жертва обычно не может проверить, что говорится в этих беседах. Отрасль также слабо регулируется, поэтому клиенты сильно зависят от репутации и этики фирмы.

Это не первый случай, когда сектор оказывается под пристальным вниманием. Мы недавно рассказывали о том, как основатель Monster Cloud Зохар Пинхаси был арестован по обвинению в требованиях выкупа, что также пролило свет на неудобный уголок реагирования на инциденты. Два случая не доказывают тенденцию, но они побуждают задать более пристальные вопросы о надзоре.

Что арест сигнализирует жертвам и правоохранительным органам

Для правоохранительных органов арест соучредителя переговорной фирмы говорит о том, что следователи готовы присматриваться к посредникам вокруг программ-вымогателей, а не только к самим преступным группировкам. Детали этого дела ещё не раскрыты, поэтому говорить о том, насколько далеко простирается такой подход, пока рано.

Для жертв это дело — напоминание о том, что найм переговорщика — это решение, заслуживающее должной проверки, а не паническая покупка.

Что это значит для вас

Если вы руководите организацией или консультируете её, эта история — не повод отказываться от профессиональной помощи во время атаки. Опытные специалисты по реагированию могут быть ценны. Это повод тщательно проверять такую помощь.

Если вы частное лицо, практическое влияние косвенное. Многие утечки, раскрывающие персональные данные, заканчиваются вымогательством, и люди, ведущие эти переговоры, влияют на то, как обращаются с вашими данными. Относитесь с осторожностью к заявлениям атакующих и неподтверждённым сообщениям прессы, пока они не подтверждены.

Практические выводы

  • Проверяйте своих партнёров по реагированию на инциденты заранее. Спрашивайте о проверках биографии, политике конфликта интересов и о том, как документируются переговоры.
  • Ведите записи и обеспечивайте надзор. Убедитесь, что руководство и юристы могут видеть стенограммы переговоров и решения.
  • Привлекайте правоохранительные органы на раннем этапе. Сообщайте об инцидентах соответствующим органам, а не полагайтесь исключительно на частных посредников.
  • Отделяйте обвинение от факта. Связь с ShinyHunters не подтверждена. Дождитесь официального подтверждения, прежде чем делать выводы.
  • Смотрите на более широкую картину. Арест основателя Monster Cloud вписывается в картину пристального внимания к переговорщикам, а материал о Carhartt выше показывает, почему к заявлениям группировок-вымогателей следует относиться критически.

История о переговорщике по программам-вымогателям, арестованном по обвинению в вымогательстве, всё ещё развивается. Проверяйте официальные обновления, прежде чем формировать мнение, и используйте этот момент, чтобы пересмотреть, кому вы доверились бы в кризисной ситуации.