En betrodd insider vände sig mot sina egna kunder
När ett företag drabbas av ransomware tar det vanligtvis in en förhandlare, någon vars jobb är att kommunicera med angripare, bedöma situationen och försöka minska skadan. Det förhållandet bygger helt på förtroende. En före detta förhandlare på incidenthanteringsföretaget DigitalMint visade just vad som händer när det förtroendet bryts.
Angelo Martino, 41, dömdes till 70 månader i federalt fängelse för att ha konspirerat med ransomware-gruppen BlackCat (även känd som ALPHV) samtidigt som han arbetade som förhandlare som påstods företräda offrens intressen. I stället för att enbart försvara sina klienter använde Martino sin position för att vidarebefordra information till de kriminella som hans klienter försökte värja sig mot, enligt rapportering från Help Net Security. Fallet, som beskrivs mer ingående i vår tidigare bevakning av DigitalMint-förhandlarens 70 månaders straff, belyser ett hot som de flesta ransomware-offer aldrig tänker på: personen som anlitats för att skydda dem.
Varför ransomware-förhandlare har tillgång till så mycket känslig information
Ransomware-förhandlare intar en unikt privilegierad position. För att kunna utföra sitt jobb effektivt behöver de vanligtvis tillgång till detaljer som de flesta anställda inom en drabbad organisation aldrig ser: omfattningen av intrånget, vilka data som stulits, hur mycket cyberförsäkringsskydd företaget har och hur mycket företaget realistiskt sett är villigt eller kan betala. Den informationen är guld värd för en angripare. Att känna till ett offers försäkringsgränser gör det till exempel möjligt för en ransomware-grupp att kalibrera sitt lösenkrav för att pressa ut högsta möjliga betalning.
Det är just detta som gör Martino-fallet anmärkningsvärt ur ett integritetsperspektiv. Det var inte en extern hackare som bröt sig in i ett företags system. Det var en insider, någon som togs in specifikt på grund av den känsliga tillgång hans roll krävde, som påstås ha använt den tillgången mot dem som anlitade honom. Incidenthanterings- och förhandlingsföretag finns eftersom de flesta organisationer saknar den specialistkompetens som krävs för att hantera en ransomware-kris internt. Den förlitan på externa experter är rimlig och ofta nödvändig, men den innebär också att offren ger sitt förtroende till en tredje part med minimala möjligheter att självständigt kontrollera att förtroendet är befogat.
Det bredare ransomware-ekosystemet tvingar redan offer att göra svåra integritetsavvägningar. Att betala en lösen garanterar inte att stulna data raderas, och att förhandla i god tro förutsätter att den andra sidan, och alla som ger dig råd, också agerar i god tro. Ett fall som detta undergräver det antagandet på ett sätt som kan göra offer mer tveksamma till att fullt ut lämna ut information till just de yrkespersoner som är till för att hjälpa dem, vilket potentiellt kan fördröja incidenthanteringen i det mest kritiska ögonblicket.
Vad detta innebär för dig
De flesta läsare kommer aldrig personligen att anlita en ransomware-förhandlare, men den underliggande läxan gäller brett: tredjepartsleverantörer med tillgång till din känsliga data är bara så pålitliga som den svagaste länken inom den leverantörens organisation. Oavsett om det är en advokatbyrå, en incidenthanteringskonsult, en molnleverantör eller något företag som hanterar din personliga eller finansiella information, är säkerheten i den relationen beroende av interna kontroller som du inte kan se från utsidan.
För företag är detta fall en påminnelse om att ställa obekväma frågor före och under en ransomware-incident. Vem på förhandlingsföretaget har tillgång till försäkringsdetaljer och betalningsbefogenhet? Finns det interna kontroller som förhindrar en enskild anställd från att kommunicera direkt med hotaktörer utan övervakning? Loggas och granskas samtalen? Detta är inte frågor som de flesta företag tänker på att ställa mitt i en kris, men de borde vara en del av due diligence innan ett intrång över huvud taget sker, inte efter.
För privatpersoner är slutsatsen mer indirekt men fortfarande relevant. När ett företag du gör affärer med drabbas av en ransomware-attack, ligger hanteringen av den incidenten, inklusive vem som har tillgång till dina komprometterade data under förhandlingarna, till stor del utanför din kontroll. Det är ytterligare ett skäl att minimera hur mycket känslig personlig information du delar med en enskild organisation från första början och att använda verktyg som lösenordshanterare och flerfaktorsautentisering så att ett enda intrång inte kan sprida sig till bredare kontokompromettering.
Insikter för att ligga steget före insiderrisk
Den här domen sänder en tydlig signal om att insiderförräderi under en ransomware-hantering medför allvarliga rättsliga konsekvenser, men förebyggande åtgärder är viktigare än bestraffning i efterhand. Om din organisation arbetar med incidenthanterings- eller förhandlingsföretag, insistera på dokumenterade åtkomstkontroller, oberoende övervakning av förhandlingarna och ett tydligt avtalsenligt ansvar. Om du är en privatperson som drabbats av ett intrång hos ett företag du litar på, ta meddelanden på allvar, byt återanvända lösenord och övervaka konton kopplade till den organisationen.
Martino-fallet kommer sannolikt att citeras i många år som ett varnande exempel inom området för ransomware-förhandlare. För alla andra är det en nyttig påminnelse om att förtroende i en krissituation måste förtjänas och verifieras, inte förutsättas.
