คนในที่ได้รับความไว้วางใจ หักหลังลูกค้าตัวเอง

เมื่อบริษัทถูกโจมตีด้วยแรนซัมแวร์ โดยปกติแล้วบริษัทจะเรียกใช้ผู้เจรจา ซึ่งมีหน้าที่สื่อสารกับผู้โจมตี ประเมินสถานการณ์ และพยายามลดความเสียหาย ความสัมพันธ์นั้นขึ้นอยู่กับความไว้วางใจล้วนๆ อดีตผู้เจรจาของบริษัทรับมือเหตุการณ์ DigitalMint เพิ่งแสดงให้เห็นว่าจะเกิดอะไรขึ้นเมื่อความไว้วางใจนั้นถูกทำลาย

Angelo Martino วัย 41 ปี ถูกตัดสินจำคุก 70 เดือนในเรือนจำกลาง ฐานสมคบคิดกับกลุ่มแรนซัมแวร์ BlackCat (หรือที่รู้จักในชื่อ ALPHV) ขณะทำงานเป็นผู้เจรจาที่ควรจะปกป้องผลประโยชน์ของเหยื่อ แทนที่จะปกป้องลูกค้าอย่างเต็มที่ Martino กลับใช้ตำแหน่งของตนส่งข้อมูลกลับไปยังเหล่าอาชญากรที่ลูกค้าพยายามต่อต้าน ตามรายงานจาก Help Net Security คดีนี้ซึ่งมีรายละเอียดเพิ่มเติมในการรายงานก่อนหน้าของเราเรื่อง อดีตผู้เจรจา DigitalMint ถูกจำคุก 70 เดือน ชี้ให้เห็นภัยคุกคามที่เหยื่อแรนซัมแวร์ส่วนใหญ่ไม่เคยคิดจะพิจารณา: บุคคลที่ถูกจ้างมาเพื่อปกป้องพวกเขา

เหตุใดผู้เจรจาแรนซัมแวร์จึงถือข้อมูลละเอียดอ่อนจำนวนมาก

ผู้เจรจาแรนซัมแวร์อยู่ในตำแหน่งที่มีเอกสิทธิ์เฉพาะตัวอย่างยิ่ง เพื่อทำงานได้อย่างมีประสิทธิภาพ พวกเขามักจำเป็นต้องเข้าถึงรายละเอียดที่พนักงานส่วนใหญ่ภายในองค์กรเหยื่อไม่มีทางได้เห็น: ขอบเขตของการรั่วไหล, ข้อมูลใดถูกขโมย, ความคุ้มครองประกันภัยไซเบอร์ของบริษัทมีเท่าใด, และบริษัทยินดีหรือสามารถจ่ายได้ตามความเป็นจริงเท่าใด ข้อมูลนั้นมีค่าดุจทองสำหรับผู้โจมตี ตัวอย่างเช่น การรู้วงเงินประกันของเหยื่อ ทำให้กลุ่มแรนซัมแวร์สามารถปรับข้อเรียกร้องค่าไถ่เพื่อบีบเอาเงินสูงสุดที่เป็นไปได้

นี่คือสิ่งที่ทำให้คดี Martino โดดเด่นในมุมมองด้านความเป็นส่วนตัว ไม่ใช่แฮกเกอร์ภายนอกที่เจาะเข้าระบบของบริษัท แต่เป็นคนใน คือบุคคลที่ถูกนำเข้ามาโดยเฉพาะเพราะการเข้าถึงที่ละเอียดอ่อนตามบทบาทหน้าที่ และถูกกล่าวหาว่าใช้การเข้าถึงนั้นกับผู้ที่จ้างเขา บริษัทรับมือเหตุการณ์และเจรจามีอยู่เพราะองค์กรส่วนใหญ่ไม่มีทักษะเฉพาะทางในการจัดการวิกฤตแรนซัมแวร์ภายในองค์กร การพึ่งพาผู้เชี่ยวชาญภายนอกนั้นสมเหตุสมผลและมักจำเป็น แต่นั่นก็หมายความว่าเหยื่อกำลังยื่นความไว้วางใจให้บุคคลภายนอก โดยแทบไม่มีความสามารถในการตรวจสอบอย่างอิสระว่าควรไว้วางใจหรือไม่

ระบบนิเวศของแรนซัมแวร์ในภาพรวมบีบให้เหยื่อต้องแลกความเป็นส่วนตัวที่ยากลำบากอยู่แล้ว การจ่ายค่าไถ่ไม่ได้รับประกันว่าข้อมูลที่ถูกขโมยจะถูกลบ และการเจรจาอย่างสุจริตใจก็ตั้งสมมติฐานว่าอีกฝ่ายและทุกคนที่ให้คำแนะนำคุณก็สุจริตใจเช่นกัน คดีเช่นนี้บั่นทอนสมมติฐานนั้นในแบบที่อาจทำให้เหยื่อลังเลมากขึ้นที่จะเปิดเผยข้อมูลทั้งหมดแก่ผู้เชี่ยวชาญที่ควรจะช่วยเหลือพวกเขา และอาจทำให้การรับมือเหตุการณ์ช้าลงในช่วงเวลาที่สำคัญที่สุด

สิ่งนี้มีความหมายต่อคุณอย่างไร

ผู้อ่านส่วนใหญ่จะไม่มีวันได้จ้างผู้เจรจาแรนซัมแวร์ด้วยตัวเอง แต่บทเรียนพื้นฐานใช้ได้อย่างกว้างขวาง: ผู้ขายที่เป็นบุคคลภายนอกที่เข้าถึงข้อมูลละเอียดอ่อนของคุณนั้นน่าเชื่อถือได้เพียงเท่ากับจุดอ่อนที่สุดภายในองค์กรของผู้ขายรายนั้น ไม่ว่าจะเป็นสำนักงานกฎหมาย ผู้รับเหมารับมือเหตุการณ์ ผู้ให้บริการคลาวด์ หรือบริษัทใดก็ตามที่จัดการข้อมูลส่วนบุคคลหรือข้อมูลทางการเงินของคุณ ความปลอดภัยของความสัมพันธ์นั้นขึ้นอยู่กับการควบคุมภายในที่คุณไม่สามารถมองเห็นได้จากภายนอก

สำหรับธุรกิจ คดีนี้เป็นเครื่องเตือนใจให้ถามคำถามยากๆ ก่อนและระหว่างเหตุการณ์แรนซัมแวร์ ใครที่บริษัทเจรจาสามารถเข้าถึงรายละเอียดประกันภัยและอำนาจในการชำระเงินได้? มีการควบคุมภายในที่ป้องกันไม่ให้พนักงานเพียงคนเดียวสื่อสารโดยตรงกับภัยคุกคามโดยไม่มีการตรวจสอบหรือไม่? การสนทนาถูกบันทึกและตรวจสอบหรือไม่? นี่ไม่ใช่คำถามที่บริษัทส่วนใหญ่นึกจะถามกลางวิกฤต แต่มันควรเป็นส่วนหนึ่งของการตรวจสอบสถานะล่วงหน้าก่อนที่การรั่วไหลจะเกิดขึ้น ไม่ใช่หลังจากนั้น

สำหรับบุคคลทั่วไป ประเด็นที่ได้นั้นอ้อมกว่าแต่ก็ยังเกี่ยวข้อง เมื่อบริษัทที่คุณทำธุรกิจด้วยประสบเหตุโจมตีแรนซัมแวร์ การจัดการเหตุการณ์นั้น รวมถึงใครที่เข้าถึงข้อมูลที่ถูกละเมิดของคุณระหว่างการเจรจา ส่วนใหญ่แล้วอยู่นอกเหนือการควบคุมของคุณ นั่นเป็นอีกเหตุผลหนึ่งที่จะลดปริมาณข้อมูลส่วนบุคคลที่ละเอียดอ่อนที่คุณแบ่งปันกับองค์กรใดๆ ตั้งแต่แรก และใช้เครื่องมือเช่นตัวจัดการรหัสผ่านและการยืนยันตัวตนหลายปัจจัย เพื่อไม่ให้การรั่วไหลเพียงครั้งเดียวลุกลามกลายเป็นการบุกรุกบัญชีในวงกว้าง

ข้อคิดเพื่อก้าวล้ำความเสี่ยงจากคนใน

คำพิพากษานี้ส่งสัญญาณชัดเจนว่าการหักหลังจากคนในระหว่างการรับมือแรนซัมแวร์มีผลทางกฎหมายร้ายแรง แต่การป้องกันสำคัญกว่าการลงโทษหลังเกิดเหตุ หากองค์กรของคุณทำงานร่วมกับบริษัทรับมือเหตุการณ์หรือเจรจา ให้ยืนกรานในเรื่องการควบคุมการเข้าถึงที่มีเอกสาร การตรวจสอบการเจรจาอย่างอิสระ และความรับผิดชอบตามสัญญาที่ชัดเจน หากคุณเป็นบุคคลที่ได้รับผลกระทบจากการรั่วไหลที่บริษัทที่คุณไว้วางใจ ให้ความสำคัญกับการแจ้งเตือน เปลี่ยนรหัสผ่านที่ใช้ซ้ำ และเฝ้าดูบัญชีที่เชื่อมโยงกับองค์กรนั้น

คดี Martino น่าจะถูกอ้างถึงต่อไปอีกหลายปีในฐานะตัวอย่างเตือนใจในวงการผู้เจรจาแรนซัมแวร์ สำหรับคนอื่นๆ ทั้งหมดแล้ว มันเป็นเครื่องเตือนใจที่มีประโยชน์ว่าความไว้วางใจในยามวิกฤตนั้นต้องถูกได้มาและพิสูจน์ยืนยัน ไม่ใช่ทึกทักเอาเอง