Арест известного переговорщика по программам-вымогателям, о котором сообщило издание Dark Reading, поднял неудобный вопрос для любой организации, которой когда-либо приходилось планировать действия на случай взлома: что происходит, когда человек, которого вы нанимаете для взаимодействия со злоумышленниками, работает на другую сторону? Это дело — наглядное напоминание о том, что проверка переговорщиков по программам-вымогателям на предмет инсайдерских угроз должна быть частью каждого плана реагирования на инциденты, а не только технических мер контроля вокруг него.
В исходной статье этот урок подаётся как необходимость усиленного надзора за программами работы с поставщиками. В этом материале рассматривается, как устроены переговоры, что раскрывает арест и что могут сделать малые предприятия и пользователи, заботящиеся о приватности.
Как на самом деле работают вымогательство и переговоры при программах-вымогателях
Когда компания становится жертвой программы-вымогателя, один из первых звонков часто адресован профессиональному переговорщику. Его задача — общаться со злоумышленниками, оценивать ситуацию и пытаться снизить ущерб. Он выступает буфером между паникующими жертвами и преступниками, которые могут требовать оплату за восстановление систем или за неразглашение украденных данных.
Такая схема работает только в том случае, если жертва полностью доверяет посреднику. Переговорщик видит требование выкупа, узнаёт, какие данные были похищены, и часто понимает, сколько жертва может себе позволить заплатить и насколько срочно ей нужны системы обратно. Жертвы обычно почти не имеют возможности проверить что-либо из этого самостоятельно. Они находятся в кризисе, ограничены во времени и полагаются на экспертизу переговорщика.
Вымогательство также становится всё сложнее контролировать. Глобальное исследование, о котором сообщило издание The Register, показало, что 37% атак программ-вымогателей теперь включают личные угрозы, будь то психологические или физические. По мере роста давления на жертв растёт и их зависимость от людей, которые ими руководят.
Что арест переговорщика раскрывает о риске инсайдеров
Большинство планирования в сфере безопасности сосредоточено на внешних злоумышленниках и, в меньшей степени, на сотрудниках. Сторонние поставщики часто воспринимаются как доверенные по умолчанию, особенно специалисты, привлекаемые во время чрезвычайной ситуации. Арест показывает слабость этого допущения. Посредник с доступом к конфиденциальным переговорам обладает огромным рычагом влияния, и если его интересы расходятся с интересами клиента, клиент может об этом никогда не узнать.
Это не чисто гипотетическая тревога. В связанном материале на vpn.social подробно рассказывается о том, как бывший переговорщик DigitalMint получил 70 месяцев за сделку с BlackCat, а отдельный репортаж освещает, как переговорщик Мартино был приговорён к 70 месяцам за связи с BlackCat. Эти материалы содержат конкретные детали дела и подчёркивают более широкий тезис: отношения с переговорщиком зависят от доверия, которое редко проверяется.
Вывод из репортажа Dark Reading не в том, что все переговорщики подозрительны. Он в том, что поставщик с таким объёмом доступа заслуживает такой же проверки, как любой другой инсайдер с высоким уровнем риска.
Чему подвергаются жертвы и их данные при компрометации поставщика
Если переговорщик или другой поставщик услуг реагирования скомпрометирован или действует против клиента, подверженность риску может выходить далеко за пределы самого выкупа. Исходя из роли, которую играет переговорщик, к областям риска относятся:
- Стратегия переговоров: бюджет жертвы, сроки и готовность платить — всё это видно посреднику.
- Детали украденных данных: переговорщики обычно узнают, что было похищено, что важно для всех, чья личная информация находилась в этих файлах.
- Принятие решений: советы о том, платить ли, тянуть ли время или оказывать сопротивление, определяют исход для компании и для затронутых людей.
- Коммуникации: каждое сообщение в адрес злоумышленников и от них проходит через переговорщика.
Для частных лиц риск косвенный, но реальный. Клиенты, пациенты и сотрудники, чьи данные находятся внутри взломанной организации, не имеют права голоса при выборе поставщика, но несут последствия, если этот выбор окажется неудачным.
Как проверять поставщиков услуг реагирования на взломы до того, как они понадобятся
Лучшее время для оценки переговорщика или фирмы по реагированию на инциденты — до атаки, когда можно спокойно задавать вопросы. В исходной статье звучит призыв к усиленному надзору за программами работы с поставщиками, и эти шаги — практический способ применить эту идею. Это общая передовая практика, а не требования, вытекающие из данного дела.
- Выбирайте поставщиков заранее. Выбор фирмы под давлением не оставляет места для должной проверки. Составьте проверенный короткий список в рамках вашего плана реагирования на инциденты.
- Спрашивайте о внутренних мерах контроля. Как фирма проверяет собственный персонал? Кто имеет доступ к переговорам с клиентами, и регистрируется ли и проверяется ли этот доступ?
- Закрепляйте ожидания в письменной форме. Контракты должны охватывать конфиденциальность, конфликты интересов и раскрытие любых связей с субъектами угроз или другими сторонами.
- Обеспечьте второй взгляд на решения. Убедитесь, что ваше собственное руководство, юрисконсульт или страховщик проверяют ключевые решения, а не оставляют их одному человеку.
- Ограничивайте обмен данными. Предоставляйте поставщикам только то, что им необходимо, и ведите учёт того, что они получили.
- Регулярно пересматривайте отношения. Рассматривайте поставщиков услуг реагирования как часть вашей программы управления рисками третьих сторон, с периодическими проверками, а не разовым одобрением.
Что это значит для вас
Если вы руководите малым бизнесом, у вас может не быть выделенной команды по безопасности, что делает доверие к поставщикам ещё более важным. Спросите вашего страховщика киберрисков или IT-провайдера, с какими фирмами реагирования они работают, и выясните, как эти фирмы контролируются. Несколько вопросов, заданных сейчас, стоят гораздо меньше, чем плохое решение, принятое в разгар кризиса.
Если вы частное лицо, практический шаг — ограничить то, что организации хранят о вас. Делитесь только теми данными, которые действительно необходимы сервису, используйте уникальные пароли и многофакторную аутентификацию и следите за уведомлениями об утечках, чтобы быстро действовать, если ваша информация окажется раскрыта. Вы не можете проверить поставщика услуг реагирования компании, но вы можете уменьшить ущерб, если что-то пойдёт не так.
Ключевые выводы
Арест известного переговорщика по программам-вымогателям — напоминание о том, что посредники могут быть инсайдерским риском и что проверка переговорщиков по программам-вымогателям на предмет инсайдерских угроз должна стоять в вашем плане готовности наряду с резервным копированием и установкой исправлений. Выбирайте поставщиков до кризиса, задавайте жёсткие вопросы об их мерах контроля и сохраняйте независимый надзор за ключевыми решениями.
За конкретными деталями дела читайте наш материал о приговорённом бывшем переговорщике DigitalMint. Чтобы понять, почему доверие к поставщикам становится ещё важнее по мере эскалации вымогательства, ознакомьтесь с исследованием о личных угрозах в атаках программ-вымогателей.
