En ransomwareförhandlare ska vara den person i rummet som kämpar för offret. Det förtroendet krossades i fallet med Angelo Martino, en tidigare förhandlare på incidenthanteringsföretaget DigitalMint, som dömdes till 70 månaders federalt fängelse för att i hemlighet ha vidarebefordrat konfidentiell kundinformation till ransomwaregänget BlackCat – just de angripare han anlitats för att förhandla emot.

Domen avslutar ett av de mer oroande kapitlen i den senaste tidens ransomwarehistoria: ett fall där den förmodade försvararen arbetade på båda sidor av förhandlingsbordet.

En betrodd insider som blev förrädare

När ett företag drabbas av ransomware är en professionell förhandlare ofta ett av de första samtalen som görs efter kontakt med polis och juridiska ombud. Dessa specialister tas in just för att offren är panikslagna, tekniskt överväldigade och desperata att undvika ytterligare skada. En bra förhandlare ska köpa tid, pressa tillbaka överdrivna krav och i slutändan få ner lösesumman till något offret kan överleva att betala, om betalning överhuvudtaget sker.

Martinos roll på DigitalMint placerade honom mitt i den relationen. Enligt den underliggande rapporteringen använde han sin tillgång till kunduppgifter, inklusive information om vilken press offren var under och vad de kunde tänkas vara villiga att betala, för att hjälpa BlackCats operatörer att pressa fram större utbetalningar istället för mindre. I praktiken vände han förhandlarens uppgift upp och ner – han arbetade för att maximera skadan för de kunder som hade anlitat honom för skydd.

Som vpn.social tidigare rapporterat byggde detta upplägg helt på antagandet att en förhandlares lojalitet bara går i en riktning. Martinos agerande bröt det antagandet på ett sätt som har skakat om incidenthanteringsbranschen.

Så fungerade dubbelagentupplägget

Mekaniken i upplägget var enkel men skadlig. Genom att vidarebefordra konfidentiella detaljer, försäkringsinformation, förhandlingsstrategi eller hur mycket en drabbad organisation realistiskt sett kunde betala, gav Martino BlackCats angripare en orättvis fördel i varje förhandling han rörde. Istället för att lösenkraven minskade under hans påstådda förespråkande, utformades de i tysthet för att växa.

Detta var inte heller en isolerad händelse. Relaterad bevakning av fallet, inklusive rapporteringen om det bredare BlackCat-förhandlarupplägget, noterar att Martino inte var den enda förhandlare som var inblandad i denna typ av agerande kopplat till samma ransomwareoperation. Ett separat fall med en Florida-baserad förhandlare dömd i ett relaterat utpressningsmål understryker att detta inte var en engångsförseelse av en enskild aktör, utan ett mönster som utnyttjade det strukturella förtroende som byggts in i incidenthanteringsbranschen.

Straffet på 70 månader återspeglar hur allvarligt de federala åklagarna såg på sveket: det handlade inte om enkel vårdslöshet eller ett säkerhetsmisslyckande, utan om en insider som medvetet arbetade mot de människor som hade gett honom sitt förtroende och sina känsliga uppgifter.

Vad detta innebär för dig

För de flesta kan detta fall verka avlägset från vardagen, men det berör något som alla borde bry sig om: hur mycket förtroende vi sätter till de mellanhänder som hanterar vår mest känsliga information under en kris. Ransomwareförhandlare sitter i en unikt privilegierad position. De ser interna ekonomiska detaljer, säkerhetsluckor och kommunikation som en drabbad organisation aldrig skulle vilja offentliggöra.

När det förtroendet missbrukas sträcker sig konsekvenserna bortom de omedelbart drabbade företagen. Anställda, kunder och alla vars personuppgifter fanns i de drabbade systemen kan få betala priset två gånger: en gång genom den ursprungliga ransomwareattacken, och en gång till genom en förhandlingsprocess som i hemlighet arbetade emot dem.

Detta fall är en påminnelse om att integritet och säkerhet i en ransomwareincident inte upphör när en specialist har anlitats. Tillsyn, verifiering och oberoende granskning av förhandlarens agerande är lika viktigt som den första responsen på själva attacken.

Praktiska lärdomar

Om din organisation någonsin hamnar i förhandlingar med ransomwareoperatörer, eller om du helt enkelt vill förstå hur sådana incidenter utvecklas, framträder några lärdomar från Martino-fallet:

  • Granska leverantörer av incidenthantering noggrant, och fråga hur de övervakar sin egen personal för intressekonflikter under pågående förhandlingar.
  • Begär transparens kring vem som har tillgång till känsliga förhandlingsdetaljer, inklusive ekonomiska gränser och försäkringsinformation.
  • Överväg oberoende tillsyn eller en andra kontaktpunkt när stora lösenkrav är inblandade, istället för att enbart förlita sig på en förhandlares redogörelse av processen.
  • Håll dig informerad om hur ransomwareförhandling faktiskt fungerar, eftersom förståelse för de drivkrafter som finns hjälper organisationer att ställa bättre frågor innan – inte efter – en attack inträffar.

Domen mot en ransomwareförhandlare för att ha förrått sina egna kunder är ett extremt fall, men det belyser en enkel sanning: förtroende i en kris måste förtjänas och verifieras, inte tas för givet.