Gripandet av en välkänd ransomware-förhandlare, rapporterat av Dark Reading, har väckt en obehaglig fråga för alla organisationer som någonsin har behövt planera för ett intrång: vad händer när personen du anlitar för att hantera angriparna arbetar för motståndarsidan? Fallet är en påminnelse om att granskning av insiderhot hos ransomware-förhandlare hör hemma i varje incidentresponsplan, inte bara de tekniska kontrollerna runt den.

Källartikeln ramar in lärdomen som ett behov av starkare tillsyn av leverantörsprogram. Det här inlägget tittar på hur förhandlingar fungerar, vad gripandet avslöjar och vad småföretag och integritetsmedvetna användare kan göra åt det.

Hur utpressning och förhandling vid ransomware faktiskt fungerar

När ett företag drabbas av ransomware är ett av de första samtalen ofta till en professionell förhandlare. Deras jobb är att kommunicera med angriparna, bedöma situationen och försöka minska skadorna. De fungerar som en buffert mellan panikslagna offer och kriminella som kan kräva betalning för att återställa system eller för att hålla stulen data privat.

Det arrangemanget fungerar bara om offret litar helt på mellanhanden. Förhandlaren ser lösensumman, får veta vilken data som tagits och förstår ofta hur mycket offret har råd att betala och hur brådskande de behöver systemen tillbaka. Offren har vanligtvis liten möjlighet att själva kontrollera något av detta. De är i kris, har ont om tid och förlitar sig på förhandlarens expertis.

Utpressning blir också svårare att hantera. En global undersökning rapporterad av The Register fann att 37 % av ransomware-attacker nu innehåller personliga hot, vare sig psykologiska eller fysiska. I takt med att pressen på offren ökar, ökar också deras beroende av personerna som vägleder dem.

Vad gripandet av förhandlaren avslöjar om insiderrisk

Det mesta av säkerhetsplaneringen fokuserar på externa angripare och, i mindre utsträckning, på anställda. Tredjepartsleverantörer behandlas ofta som betrodda som standard, särskilt specialister som kallas in under en nödsituation. Gripandet visar svagheten i det antagandet. En mellanhand med tillgång till känsliga förhandlingar har en position med enorm hävstång, och om den personens intressen avviker från klientens kan klienten aldrig få veta det.

Detta är inte en rent hypotetisk oro. Relaterad rapportering på vpn.social beskriver hur en tidigare DigitalMint-förhandlare fick 70 månaders fängelse för en BlackCat-affär, och en separat rapport täcker hur förhandlaren Martino dömdes till 70 månaders fängelse för BlackCat-kopplingar. Dessa artiklar täcker de konkreta falluppgifterna och understryker den bredare poängen: förhandlarrelationen bygger på förtroende som sällan granskas.

Slutsatsen från Dark Readings rapportering är inte att alla förhandlare är misstänkta. Det är att en leverantör med så här mycket tillgång förtjänar samma granskning som vilken annan högriskinsider som helst.

Vad offer och deras data exponeras för när en leverantör komprometteras

Om en förhandlare eller annan responsleverantör komprometteras, eller agerar mot klienten, kan exponeringen sträcka sig långt bortom lösensumman. Baserat på den roll en förhandlare spelar, omfattar orosområdena:

  • Förhandlingsstrategi: offrets budget, deadlines och betalningsvilja är alla synliga för mellanhanden.
  • Detaljer om den stulna datan: förhandlare får vanligtvis veta vad som tagits, vilket spelar roll för alla vars personuppgifter fanns i dessa filer.
  • Beslutsfattande: råd om huruvida man ska betala, fördröja eller stå emot formar utfallet för företaget och för de människor som påverkas.
  • Kommunikation: varje meddelande till och från angriparna passerar genom förhandlaren.

För individer är risken indirekt men verklig. Kunder, patienter och anställda vars data finns inne i en drabbad organisation har ingen talan om vilken leverantör som väljs, men de bär konsekvenserna om valet går fel.

Hur du granskar leverantörer för intrångsrespons innan du behöver dem

Det bästa tillfället att utvärdera en förhandlare eller incidentresponsfirma är före en attack, när du kan ställa frågor i lugn och ro. Källartikeln efterlyser starkare tillsyn av leverantörsprogram, och dessa steg är ett praktiskt sätt att tillämpa den idén. De är allmän god praxis snarare än krav hämtade från fallet.

  1. Välj dina leverantörer i förväg. Att välja en firma under press lämnar inget utrymme för due diligence. Bygg en granskad kortlista som en del av din incidentresponsplan.
  2. Fråga om interna kontroller. Hur granskar firman sin egen personal? Vem kan komma åt klientförhandlingar, och loggas och granskas den åtkomsten?
  3. Sätt förväntningarna skriftligt. Avtal bör täcka konfidentialitet, intressekonflikter och avslöjande av eventuella relationer med hotaktörer eller andra parter.
  4. Ha en andra uppsättning ögon på besluten. Se till att din egen ledning, juridiska rådgivare eller försäkringsgivare granskar stora val istället för att lämna dem till en person.
  5. Begränsa datadelningen. Ge leverantörer bara det de behöver, och för register över vad de fick.
  6. Granska relationen regelbundet. Behandla responsleverantörer som en del av ditt tredjepartsriskprogram, med periodiska kontroller istället för ett engångsgodkännande.

Vad detta betyder för dig

Om du driver ett småföretag har du kanske inget dedikerat säkerhetsteam, vilket gör leverantörsförtroende ännu viktigare. Fråga din cyberförsäkringsgivare eller IT-leverantör vilka responsfirmor de arbetar med, och ta reda på hur dessa firmor övervakas. Några frågor som ställs nu kostar långt mindre än ett dåligt beslut mitt i en kris.

Om du är en privatperson är det praktiska steget att begränsa vad organisationer har om dig. Dela bara den data som en tjänst genuint behöver, använd unika lösenord och flerfaktorsautentisering, och håll utkik efter intrångsaviseringar så att du kan agera snabbt om din information exponeras. Du kan inte granska ett företags incidentresponsleverantör, men du kan minska skadorna om något går fel.

Viktiga slutsatser

Gripandet av en välkänd ransomware-förhandlare är en påminnelse om att mellanhänder kan utgöra en insiderrisk, och att granskning av insiderhot hos ransomware-förhandlare bör ingå vid sidan av säkerhetskopior och patchning i din beredskapsplan. Välj leverantörer före en kris, ställ svåra frågor om deras kontroller och behåll oberoende tillsyn över stora beslut.

För konkreta falluppgifter, läs vår rapportering om den dömda tidigare DigitalMint-förhandlaren. För att se varför leverantörsförtroende spelar ännu större roll när utpressningen eskalerar, granska undersökningen om personliga hot i ransomware-attacker.