En betrodd förhandlare arbetade för angriparna

När ett företag drabbas av ransomware är ett av de första samtalen ofta till en professionell förhandlare, någon som anlitas för att pruta på lösensumman, köpa tid och agera som en buffert mellan panikslagna chefer och kriminella hackare. Det systemet bygger helt på förtroende. En nyligen meddelad federal dom visar vad som händer när det förtroendet bryts från insidan.

En ransomware-förhandlare har dömts till 70 månaders federalt fängelse efter att åklagare funnit att han i hemlighet konspirerade med ransomware-gruppen BlackCat (även känd som ALPHV) samtidigt som han påstod sig företräda offer. Istället för att skydda de företag som anlitat honom ska han ha vidarebefordrat känsliga detaljer, inklusive information om kunders försäkringsskydd och betalningstak, vilket gav de kriminella inflytande att kräva mer pengar och utöva påtryckningar mer effektivt. Som en del av domen förverkar han också kryptovaluta kopplad till upplägget.

Fallet identifierade minst fem offerorganisationer, däribland ett medicintekniskt företag i Florida som först drabbades av ett lösensummakrav på 10 miljoner dollar innan det slutligen betalade cirka 1,2 miljoner dollar, ett läkemedelsföretag i Maryland och en läkarmottagning. Hela omfattningen av upplägget ska också ha korsats av interna strider mellan rivaliserande ransomware-gäng, där en grupp hotade att avslöja den andras verksamhet – en påminnelse om att även kriminella ekosystem inte är immuna mot interna konflikter och svek.

Hur upplägget undergrävde offren

Ransomware-förhandlare intar en unikt känslig position. För att kunna utföra sitt jobb behöver de normalt tillgång till information som de flesta företag aldrig skulle lämna ut till en utomstående: hur mycket kontanter som finns tillgängliga, vad cyberförsäkringen faktiskt täcker, interna tidsfrister och hur desperat ledningen är att lösa situationen i det tysta. Den informationen är tänkt att förbli konfidentiell och endast användas för att skydda klientens intressen under förhandlingen.

När en förhandlare istället vidarebefordrar den informationen till angriparna äventyras hela incidenthanteringsprocessen redan innan den har börjat. Offren tror att de förhandlar från en position av välinformerad strategi, när motparten i själva verket redan känner till deras ekonomiska tak. Den obalansen förklarar sannolikt varför kraven i dessa fall eskalerade så aggressivt, och varför det medicintekniska företagets initiala krav var åtta gånger högre än vad det till slut betalade.

Detta är ingen isolerad händelse. Som vi rapporterade i vår bevakning av en Florida ransomware-förhandlare dömd i ett separat amerikanskt utpressningsfall har brottsbekämpningen nu identifierat flera förhandlare kopplade till samma BlackCat-anknutna utpressningsnätverk. Mönstret tyder på att detta inte var ett engångssvek utan en avsiktlig, åtminstone delvis organiserad insats för att utnyttja incidenthanteringsbranschen från insidan.

Integritetsimplikationer för drabbade av intrång

Konsekvenserna för integriteten sträcker sig långt bortom lösensummorna. Medicintekniska företag, läkemedelsföretag och läkarmottagningar hanterar rutinmässigt känsliga patient- och hälsodata. När en förhandlare i hemlighet arbetar mot ett offers intressen väcker det verkliga frågor om vilken annan känslig information som kan ha exponerats, misshanterats eller använts som ytterligare påtryckningsmedel under utpressningsprocessen. Företag som verkar inom hälso- och sjukvård och andra reglerade sektorer är redan skyldiga att skydda patientdata enligt strikta integritetskrav, och ett insider-svek under en ransomware-incident komplicerar varje efterföljande beslut, inklusive om och hur berörda personer ska underrättas.

Det belyser också en blind fläck som många organisationer inte tänker på förrän det är för sent: leverantörer av incidenthantering, inklusive förhandlare, forensiska företag och till och med juridiska ombud som kopplas in under ett intrång, granskas sällan med samma noggrannhet som andra tredjepartsrisker. Ett företag kan genomföra omfattande due diligence på en molnleverantör eller programvaruleverantör, men ta in en förhandlare under en kris huvudsakligen baserat på rykte eller brådska.

Vad detta innebär för dig

Om din organisation någonsin behöver anlita en ransomware-förhandlare eller ett incidenthanteringsföretag är detta fall en anledning att sakta ner, inte att gripas av panik. Verifiera referenser oberoende snarare än att enbart förlita sig på rekommendationer från ditt försäkringsbolag eller en enda kontaktpunkt. Ställ direkta frågor om hur kundinformation hanteras, lagras och delas, och insistera på dokumenterade gränser för vad förhandlaren får och inte får avslöja. Om din cyberförsäkring kräver en specifik leverantörslista, granska den listan proaktivt, innan en attack inträffar, snarare än att försöka ordna det under en pågående incident när både inflytande och omdöme är försämrade.

För privatpersoner är slutsatsen enklare men ändå viktig: om du underrättas om att en vårdgivare, apotek eller medicintekniskt företag som du har haft kontakt med har drabbats av en ransomware-incident, ta underrättelsen på allvar även om företaget säger att dataexponeringen var begränsad. Fall som detta visar att den interna hanteringen av ett intrång kan vara betydligt rörigare än vad offentliga uttalanden ger sken av.

Slutsatser

Denna dom är ett sällsynt, konkret exempel på hur ransomware-förhandlarens roll, som helt bygger på konfidentialitet och förtroende, kan användas som vapen mot just de organisationer den är avsedd att skydda. Granska dina leverantörer av incidenthantering innan en kris inträffar, upprätta tydliga gränser för informationsdelning i varje avtal och kom ihåg att en ransomware-förhandlares inflytande bygger på att hemligheten förblir hemlig på din sida, inte angriparens.