คนในที่ไว้ใจได้กลับกลายเป็นผู้สมรู้ร่วมคิด

เมื่อบริษัทตกเป็นเหยื่อของแรนซัมแวร์ บ่อยครั้งที่ต้องหันไปพึ่งผู้เจรจาผู้เชี่ยวชาญเพื่อรับมือการสื่อสารที่ละเอียดอ่อนและเดิมพันสูงกับผู้โจมตี นั่นคือบทบาทที่ Angelo Martino วัย 41 ปี ทำอยู่ที่ DigitalMint บริษัทที่ช่วยองค์กรต่างๆ รับมือกับเหตุการณ์แรนซัมแวร์และเจรจาค่าไถ่แทนพวกเขา Martino ถูกเรียกตัวเข้ามาในเคสที่กำลังถูกละเมิด นั่งอยู่ฝั่งที่ควรจะปกป้องเหยื่อ

แต่ตามบันทึกของศาล Martino กลับแอบทำงานร่วมกับเครือข่ายของกลุ่มแรนซัมแวร์ BlackCat (หรือที่รู้จักในชื่อ ALPHV) หนึ่งในปฏิบัติการรีดไถที่ฉาวโฉ่ที่สุดในช่วงไม่กี่ปีที่ผ่านมา แทนที่จะปกป้องผลประโยชน์ของลูกค้า เขากลับถูกกล่าวหาว่าป้อนข้อมูลลับจากภายในให้กับผู้โจมตี ระหว่างการเจรจาที่เขาควรจะดำเนินการแทนเหยื่อ ความรู้ภายในนั้นมีรายงานว่าช่วยให้แก๊งนี้รีดค่าไถ่ได้สูงขึ้น โดยรายงานระบุว่าแผนการนี้มีส่วนทำให้สามารถรีดเงินได้ประมาณ 75 ล้านดอลลาร์จากองค์กรเหยื่อหลายราย Martino ให้การรับสารภาพและถูกตัดสินจำคุก 70 เดือนในเรือนจำกลาง

แผนการนี้บ่อนทำลายการเจรจาค่าไถ่แรนซัมแวร์อย่างไร

การเจรจาค่าไถ่แรนซัมแวร์มีขึ้นเพราะบริษัทที่เผชิญการโจมตีมักขาดความเชี่ยวชาญเฉพาะทางในการสื่อสารกับกลุ่มอาชญากร ประเมินความน่าเชื่อถือของคำขู่ หรือตัดสินว่าการจ่ายค่าไถ่เป็นสิ่งที่สมควรหรือไม่ บริษัทอย่าง DigitalMint ควรทำหน้าที่เป็นไฟร์วอลล์ ใช้ประสบการณ์ของตนเพื่อลดข้อเรียกร้อง ตรวจสอบความสามารถในการกู้คืนข้อมูล และป้องกันไม่ให้เหยื่อถูกเอาเปรียบซ้ำสอง

คดีของ Martino พลิกโมเดลนั้นกลับตาลปัตร โดยการรั่วไหลรายละเอียดอ่อนไหวจากการเจรจาที่กำลังดำเนินอยู่ รวมถึงข้อมูลภายในของลูกค้า ระดับวงเงินที่ยอมจ่ายได้ และสถานะอำนาจต่อรองของเหยื่อ เขาส่งมอบบทplaybook ที่ BlackCat ต้องการเพื่อกดดันให้ได้ค่าไถ่สูงสุดให้กับเหล่า affiliate นั่นคือการทรยศความไว้วางใจอย่างรุนแรง ไม่เพียงแต่ระหว่าง Martino กับนายจ้าง แต่ยังระหว่างนายจ้างกับลูกค้าทุกรายที่สันนิษฐานว่าทีมรับมือวิกฤตกำลังทำงานเพื่อพวกเขาแต่เพียงผู้เดียว

การสมรู้ร่วมคิดจากภายในเช่นนี้สร้างความเสียหายอย่างยิ่งเพราะเหยื่อแรนซัมแวร์อยู่ในสถานะที่เปราะบางอยู่แล้ว พวกเขามักถูกกดดันให้ตัดสินใจอย่างรวดเร็วเกี่ยวกับข้อมูลอ่อนไหว เวลาหยุดดำเนินการ และความเสี่ยงด้านกฎระเบียบ เคสอย่าง Instructure จ่ายค่าไถ่หลังการละเมิด Canvas แสดงให้เห็นว่าบางครั้งองค์กรสรุปว่าการจ่ายเงินเป็นทางเลือกที่เสียหายน้อยที่สุดที่มีอยู่ เมื่อผู้เจรจาที่ดูแลการตัดสินใจนั้นมีแรงจูงใจทางการเงินให้ทำงานสวนทางกับเหยื่อ การคำนวณทั้งหมดที่ใช้หาเหตุผลในการจ่ายค่าไถ่ก็กลายเป็นสิ่งที่ถูกบ่อนทำลาย

ทำไมคดีนี้ถึงทำให้เกิดข้อกังวลด้านความเป็นส่วนตัวที่ใหญ่ขึ้นสำหรับธุรกิจ

ผลกระทบด้านความเป็นส่วนตัวขยายวงกว้างเกินกว่าการสูญเสียทางการเงินในทันที การเจรจาค่าไถ่แรนซัมแวร์มักเกี่ยวข้องกับการแบ่งปันข้อมูลที่อ่อนไหวสูง: ขอบเขตของข้อมูลที่ถูกขโมย, การประเมินความปลอดภัยภายใน, การสื่อสารของผู้บริหาร และรายละเอียดเกี่ยวกับสิ่งที่บริษัทยินดีจ่าย เหยื่อแบ่งปันข้อมูลนี้ภายใต้สมมติฐานว่ามันจะอยู่ภายในวงผู้ตอบสนองที่ไว้ใจได้ซึ่งควบคุมอย่างเข้มงวด

การกระทำของ Martino แสดงให้เห็นว่าระบบนิเวศการรับมือเหตุการณ์เองก็สามารถกลายเป็นจุดล้มเหลวได้ แม้แต่องค์กรที่ทำทุกอย่างถูกต้องหลังการละเมิด ว่าจ้างบริษัทที่มีชื่อเสียง ปฏิบัติตามโปรโตคอลที่แนะนำ และให้ความร่วมมือกับหน่วยงานบังคับใช้กฎหมาย ก็ยังสามารถถูกบ่อนทำลายข้อมูลและตำแหน่งการเจรจาจากภายในได้ สิ่งนี้สะท้อนถึงกลยุทธ์กดดันที่พบในแคมเปญรีดไถชื่อดังอื่นๆ เช่น กลยุทธ์ที่ยกระดับขึ้นเรื่อยๆ เมื่อ ShinyHunters ทำลายหน้าเว็บพอร์ทัลโรงเรียนระหว่างแคมเปญเรียกค่าไถ่ Canvas ซึ่งผู้โจมตีใช้ความอับอายต่อสาธารณะและอำนาจต่อรองจากข้อมูลเพื่อบีบบังคับให้ยอมจ่าย

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากองค์กรของคุณเคยพบว่าตัวเองต้องเจรจากับกลุ่มแรนซัมแวร์ คดีนี้เป็นเครื่องเตือนใจว่ากระบวนการคัดเลือกผู้ให้บริการสมควรได้รับการตรวจสอบอย่างละเอียดพอๆ กับเครื่องมือความปลอดภัยไซเบอร์ของคุณ ถามบริษัทเจรจาที่มีศักยภาพเกี่ยวกับการควบคุมภายใน การตรวจสอบประวัติพนักงาน และวิธีที่ข้อมูลลูกค้าถูกแบ่งส่วนและเฝ้าติดตามระหว่างเคสที่กำลังดำเนินอยู่ ขอความชัดเจนว่าใครมีสิทธิ์เข้าถึงรายละเอียดการเจรจา และมีใครมีอำนาจที่ปราศจากการตรวจสอบเหนือการสื่อสารกับผู้โจมตีหรือไม่

สำหรับบุคคลและธุรกิจขนาดเล็กที่ไม่มีทรัพยากรสำหรับการตรวจสอบสถานะผู้ให้บริการอย่างละเอียด ข้อสรุปที่กว้างขึ้นคือ: ลดปริมาณข้อมูลอ่อนไหวที่อาจถูกเปิดเผยตั้งแต่แรก หลักปฏิบัติการสำรองข้อมูลที่แข็งแกร่ง การแบ่งส่วนเครือข่าย และการจำกัดปริมาณข้อมูลส่วนบุคคลหรือข้อมูลทางการเงินที่เก็บไว้ในระบบที่เข้าถึงได้ง่าย ล้วนช่วยลดอำนาจต่อรองที่กลุ่มแรนซัมแวร์ หรือคนในที่ถูกบ่อนทำลาย จะมีเหนือคุณ

ประเด็นสำคัญ

  • ตรวจสอบบริษัทรับมือเหตุการณ์และเจรจาด้วยความเข้มงวดเช่นเดียวกับที่คุณใช้กับผู้ให้บริการใดๆ ที่จัดการข้อมูลอ่อนไหว
  • ถามว่าบริษัทเจรจามีการเฝ้าติดตามและตรวจสอบการเข้าถึงของพนักงานภายในอย่างไรระหว่างเคสแรนซัมแวร์ที่กำลังดำเนินอยู่
  • ลดปริมาณข้อมูลอ่อนไหวที่จัดเก็บในระบบที่เสี่ยงต่อการถูกบุกรุก เพราะการเปิดเผยที่น้อยลงหมายถึงอำนาจต่อรองที่น้อยลงสำหรับผู้โจมตีหรือคนใน
  • ปฏิบัติต่อการเจรจาค่าไถ่แรนซัมแวร์เสมือนการตัดสินใจที่ต้องมีการกำกับดูแลของตนเอง ไม่ใช่กล่องดำที่จัดการโดยบุคคลที่สามทั้งหมด

คดีของ Martino เป็นตัวอย่างที่หายากแต่ร้ายแรงของการทรยศจากภายในในอุตสาหกรรมการรับมือแรนซัมแวร์ มันไม่ได้หมายความว่าบริษัทเจรจาจะเชื่อถือไม่ได้ในวงกว้าง แต่มันย้ำว่าความไว้วางใจควรได้รับการพิสูจน์ ไม่ใช่การสันนิษฐาน โดยเฉพาะอย่างยิ่งเมื่อรายละเอียดการละเมิดที่อ่อนไหวที่สุดของบริษัทตกเป็นเดิมพัน