Federala utredare har enligt uppgift identifierat chefer på två separata företag för cyberincidentförhandling som upprätthöll ovanligt nära relationer med utpressningsgruppen ShinyHunters. Enligt KrebsOnSecurity-rapportering sammanfattad av Security Arsenal ska en amerikanskbaserad chef ha gått längre och hjälpt till att driva webbplatsen som användes för att pressa offer att betala. Anklagelsen om ShinyHunters lösengodkännarens utpressningssajt är fortfarande bara det, en anklagelse, men den väcker en svår fråga för alla vars data finns hos ett företag som en dag kan bli hackat: vem sitter egentligen på andra sidan bordet?

Vad utredarna påstår om förhandlarna och ShinyHunters

Rapporteringen säger att federala utredare, som arbetade med data från FBI, identifierade chefer på två förhandlingsföretag som hade nära kontakt med ShinyHunters. En av dem, en amerikanskbaserad chef, påstås ha hjälpt till att driva sajten som gruppen använde för att pressa offer att betala lösensummor.

Några punkter är värda att ha i åtanke. Den tillgängliga sammanfattningen lägger inte fram några åtal, och påståendena kommer från rapportering om vad utredarna misstänker. Varken cheferna eller deras företag namnges i det material vi granskat, så vi kommer inte att spekulera om identiteter. Behandla detta som en pågående nyhet och förvänta dig att detaljerna ändras i takt med att mer information bekräftas.

Hur sajter för lösensförhandling och utpressning fungerar

När ett företag drabbas av datastöld eller ransomware-attack anlitar det ofta ett externt företag för att hantera kommunikationen med angriparna. Dessa förhandlare verifierar vanligtvis vad som stulits, försöker sänka kravet och arrangerar betalning om företaget beslutar sig för att betala. Eftersom de talar direkt med kriminella besitter de känslig kunskap: hur mycket offret har råd med, vilken data som tagits och hur brådskande företagets deadline är.

Utpressningssajter är tryckverktyget på andra sidan. Grupper som ShinyHunters använder en webbplats för att namnge offer, hota med att publicera stulen data och pressa företag mot en uppgörelse. Sajten är en del av säljargumentet: ju mer trovärdigt och skrämmande hotet är, desto större sannolikhet att ett offer betalar.

Det är därför anklagelsen spelar roll. Om en förhandlare också hjälpte till att driva trycksajten skulle samma person i teorin kunna vara både offrets betrodda rådgivare och en deltagare i hotet. Det är ett skolexempel på intressekonflikt, och offret kanske inte känner till det.

Varför en intressekonflikt inom incidenthantering spelar roll

Incidenthantering bygger på förtroende. Ett hackat företag lämnar över loggar, nätverksdetaljer och känslig affärsinformation till dem som hjälper det att återhämta sig. Om någon av dessa rådgivare har kopplingar till angriparna kan flera saker gå fel:

  • Förhandlingsfördelar kan läcka. Att känna till ett offers budget eller deadline hjälper en utpressare att sätta priset.
  • Rådgivningen kan vara vinklad. En rådgivare med intressekonflikt kan knuffa ett företag mot att betala snarare än att återhämta sig på annat sätt.
  • Datahanteringen blir osäker. Betalning ska köpa radering av stulen data, men precis som i andra aktuella utpressningsfall finns det inget sätt att vara säker på att datan verkligen är borta.

För kunder, patienter, studenter eller anställda vars uppgifter finns inom det hackade företaget ligger detta utanför deras kontroll. Du väljer inte förhandlaren, och du får sällan veta vem det var. Branschövergripande är det en anledning att kräva tydligare granskning och redovisning av intressekonflikter, och att tillsynsmyndigheter och försäkringsbolag ser över hur dessa företag granskas.

Vad detta innebär för dig

Du kan inte granska dina leverantörers partners inom incidenthantering. Vad du kan göra är att begränsa skadorna om dina uppgifter hamnar i fel händer, oavsett vem som skötte förhandlingen. Utgå från att en betalning inte garanterar att din information förstörts, och att stulna uppgifter kan återanvändas i uppföljningsbedrägerier. Utpressningsgrupper och efterapare utnyttjar också nyheter om dataintrång: ett falskt sextortion-mejl från ShinyHunters har till exempel enligt uppgift använt verkliga intrångsdetaljer för att få hoten att verka trovärdiga.

Vad du ska göra om ett företag du använder drabbas av ett dataintrång

När ett meddelande om dataintrång kommer, agera på det istället för att vänta på att historien ska klarna:

  1. Byt återanvända lösenord. Börja med den drabbade tjänsten, sedan alla andra konton som delar samma lösenord. Använd ett unikt lösenord för varje konto, helst lagrat i en lösenordshanterare.
  2. Slå på flerfaktorsautentisering. Föredra en autentiseringsapp eller hårdvarunyckel framför SMS där det är möjligt.
  3. Var uppmärksam på nätfiske- och utpressningsmejl. Var skeptisk till meddelanden som hänvisar till verkliga detaljer om dig och kräver pengar eller snabba åtgärder. Svara inte, klicka inte på länkar och öppna inte bilagor. Gå direkt till företagets officiella webbplats istället.
  4. Kontrollera själva meddelandet. Bekräfta att det kom från företaget via en kanal du kan verifiera, eftersom angripare imiterar intrångsmeddelanden.
  5. Övervaka dina konton. Granska bank- och kontoutdrag, och överväg en kreditspärr om meddelandet säger att finansiella uppgifter eller identitetsuppgifter exponerats.

Summan av kardemumman

Den påstådda kopplingen mellan en lösengodkännare och en ShinyHunters-utpressningssajt är ännu inte ett avgjort fall, men den visar hur mycket av intrångshanteringen som bygger på förtroende som enskilda personer inte kan se. Tills fakta är fullt fastställda är det klokaste tillvägagångssättet att skydda sig på samma sätt varje gång: unika lösenord, flerfaktorsautentisering och en sund misstänksamhet mot alla meddelanden som lutar sig mot din läckta data för att skrämma dig. Gör dessa saker efter varje intrångsmeddelande, och du minskar värdet av vad angriparna, eller deras mellanhänder, än håller i.