En betrodd insider som blev medbrottsling

När ett företag drabbas av ransomware vänder det sig ofta till en specialiserad förhandlare för att sköta den känsliga, höginsatsdialogen med angriparna. Det var precis den rollen som Angelo Martino, 41, hade på DigitalMint, ett företag som hjälper organisationer att hantera ransomware-incidenter och förhandla om betalningar för deras räkning. Martino togs in under pågående intrångsärenden, på den sida av bordet som skulle skydda offren.

Istället, enligt domstolshandlingar, arbetade Martino i hemlighet med anknutna till ransomware-gruppen BlackCat (även känd som ALPHV), en av de mer ökända utpressningsoperationerna under senare år. Istället för att försvara sina klienters intressen ska han ha försett angriparna med konfidentiell information inifrån de förhandlingar han skulle föra på offrens vägnar. Denna insiderkunskap hjälpte enligt uppgift gänget att pressa fram större betalningar, och rapporter visar att upplägget bidrog till att ungefär 75 miljoner dollar pressades ut från drabbade organisationer i flera olika fall. Martino erkände sig skyldig och dömdes till 70 månader i federalt fängelse.

Hur upplägget undergrävde ransomware-förhandling

Ransomware-förhandling existerar eftersom företag som drabbas av en attack ofta saknar den specialkunskap som krävs för att kommunicera med kriminella grupper, bedöma hotens trovärdighet eller avgöra om en lösenbetalning överhuvudtaget är tillrådlig. Företag som DigitalMint ska fungera som en brandvägg och använda sin erfarenhet för att få ner kraven, verifiera möjligheterna till dataåterställning och hindra offren från att utnyttjas två gånger.

Martinos fall vänder den modellen upp och ner. Genom att läcka känsliga detaljer från pågående förhandlingar, däribland intern kundinformation, finansiella trösklar och offrets förhandlingsposition, gav han i praktiken BlackCat-anknutna ett färdigt manus för att pressa fram maximala utbetalningar. Det är ett djupt förtroendebrott, inte bara mellan Martino och hans arbetsgivare, utan mellan arbetsgivaren och varje kund som antog att deras krishanteringsteam enbart arbetade för dem.

Den här typen av insiderkollusion är särskilt skadlig eftersom ransomware-offer redan befinner sig i en utsatt position. De är ofta under press att fatta snabba beslut kring känsliga data, driftstopp och regulatoriska risker. Fall som Instructure betalade lösensumma efter Canvas-intrånget visar hur organisationer ibland drar slutsatsen att betalning är den minst skadliga utvägen. När den förhandlare som hanterar det beslutet har ekonomiska incitament att arbeta mot offret, blir hela kalkylen som rättfärdigar en betalning korrumperad.

Varför detta fall väcker större integritetsproblem för företag

Integritetskonsekvenserna sträcker sig långt bortom de omedelbara ekonomiska förlusterna. Ransomware-förhandlingar innebär vanligtvis att mycket känsligt material delas: omfattningen av stulna data, interna säkerhetsbedömningar, ledningskommunikation och detaljer om vad ett företag är villigt att betala. Offer delar denna information i tron att den stannar inom en strikt kontrollerad krets av betrodda insatspersoner.

Martinos agerande visar att själva ekosystemet för incidenthantering kan bli en svag punkt. Även organisationer som gör allting rätt efter ett intrång – anlitar ansedda firmor, följer rekommenderade protokoll och samarbetar med brottsbekämpande myndigheter – kan ändå få sin data och sin förhandlingsposition undergrävd inifrån. Detta speglar den press som setts i andra uppmärksammade utpressningskampanjer, som de eskalerande metoder som användes när ShinyHunters vandaliserade skolportaler under sin Canvas-lösensummskampanj, där angriparna förlitade sig på offentlig förödmjukelse och datautpressning för att tvinga fram en uppgörelse.

Vad detta innebär för dig

Om din organisation någonsin hamnar i förhandlingar med en ransomware-grupp är detta fall en påminnelse om att processen för leverantörsval förtjänar samma granskning som dina cybersäkerhetsverktyg. Fråga potentiella förhandlingsfirmor om interna kontroller, bakgrundskontroller av anställda och hur kunddata segmenteras och övervakas under ett pågående ärende. Be om klarhet kring vem som har tillgång till förhandlingsdetaljer och om någon enskild individ har okontrollerad befogenhet över kommunikationen med angriparna.

För privatpersoner och mindre företag utan resurser för omfattande leverantörsgranskning är lärdomen bredare: minimera den känsliga data som överhuvudtaget kan exponeras. Starka rutiner för säkerhetskopiering, nätverkssegmentering och begränsning av mängden personlig eller finansiell data som lagras i lättillgängliga system minskar alla den utpressningskraft en ransomware-grupp – eller en insider med dold agenda – kan utöva över dig.

Viktiga slutsatser

  • Granska incidenthanterings- och förhandlingsfirmor med samma noggrannhet som du skulle tillämpa på vilken leverantör som helst som hanterar känsliga data.
  • Fråga hur förhandlingsfirmor internt övervakar och granskar anställdas åtkomst under pågående ransomware-ärenden.
  • Minska mängden känslig data som lagras i system som är sårbara för intrång, eftersom mindre exponering innebär mindre utpressningskraft för angripare eller insiderhot.
  • Behandla ransomware-förhandling som ett beslut som kräver egen tillsyn, inte som en svart låda som helt hanteras av en tredje part.

Martino-fallet är ett sällsynt men allvarligt exempel på insiderförräderi inom ransomware-insatsbranschen. Det betyder inte att förhandlingsfirmor generellt inte går att lita på, men det understryker att förtroende bör verifieras, inte antas – särskilt när ett företags mest känsliga intrångsdetaljer står på spel.