Kendi Müşterilerine Karşı Dönen Güvenilir Bir İçeriden
Bir şirket fidye yazılımı saldırısına uğradığında, genellikle saldırganlarla iletişim kurmak, durumu değerlendirmek ve hasarı azaltmaya çalışmakla görevli bir arabulucu çağırır. Bu ilişki tamamen güvene dayanır. Olay müdahale firması DigitalMint'in eski bir arabulucusu, bu güven kırıldığında neler olduğunu az önce gösterdi.
41 yaşındaki Angelo Martino, mağdurların çıkarlarını temsil ettiği varsayılan bir arabulucu olarak çalışırken BlackCat fidye yazılımı grubuyla (ALPHV olarak da bilinir) komplo kurmaktan 70 ay federal hapis cezasına çarptırıldı. Help Net Security'nin haberine göre Martino, müvekkillerini tamamen savunmak yerine, konumunu, müvekkillerinin savuşturmaya çalıştığı suçlulara bilgi sızdırmak için kullandı. DigitalMint arabulucusunun 70 aylık hapis cezası hakkındaki önceki haberimizde daha ayrıntılı olarak ele alınan bu dava, çoğu fidye yazılımı mağdurunun aklına bile getirmediği bir tehdidi vurguluyor: kendilerini korumak için kiralanan kişi.
Fidye Yazılımı Arabulucuları Neden Bu Kadar Hassas Veriye Sahip?
Fidye yazılımı arabulucuları benzersiz ve ayrıcalıklı bir konuma sahiptir. İşlerini etkili bir şekilde yapabilmek için genellikle mağdur kuruluş içindeki çoğu çalışanın asla görmediği ayrıntılara erişmeleri gerekir: ihlalin kapsamı, hangi verilerin çalındığı, şirketin ne kadar siber sigorta kapsamına sahip olduğu ve şirketin gerçekçi olarak ne kadar ödemeye istekli veya muktedir olduğu. Bu bilgiler bir saldırgan için altın değerindedir. Örneğin bir mağdurun sigorta limitlerini bilmek, fidye yazılımı grubunun fidye talebini mümkün olan en yüksek ödemeyi koparacak şekilde ayarlamasını sağlar.
Martino davasını gizlilik açısından kayda değer kılan da tam olarak budur. Bu, bir şirketin sistemlerine sızan harici bir bilgisayar korsanı değildi. Bu, görevinin gerektirdiği hassas erişim nedeniyle özel olarak getirilen ve bu erişimi kendisini kiralayanlara karşı kullandığı iddia edilen bir içeriden biriydi. Olay müdahale ve müzakere firmaları, çoğu kuruluş bir fidye yazılımı krizini kendi bünyesinde yönetecek uzmanlığa sahip olmadığı için vardır. Dış uzmanlara olan bu güven makul ve çoğu zaman gereklidir, ancak bu aynı zamanda mağdurların, bu güvenin haklı olup olmadığını bağımsız olarak doğrulama imkânı çok az olan üçüncü bir tarafa güven duyduğu anlamına gelir.
Daha geniş fidye yazılımı ekosistemi, mağdurları zaten zorlu gizlilik ödünleri vermeye zorlamaktadır. Fidye ödemek çalınan verilerin silineceğini garanti etmez ve iyi niyetle müzakere etmek, karşı tarafın ve size danışmanlık yapan herkesin de iyi niyetle hareket ettiğini varsayar. Bu gibi bir dava, bu varsayımı, mağdurları kendilerine yardım etmesi gereken profesyonellere tam olarak bilgi verme konusunda daha çekingen hale getirebilecek şekilde baltalamakta ve en çok ihtiyaç duyulan anda olay müdahalesini yavaşlatma potansiyeli taşımaktadır.
Bu Sizin İçin Ne Anlama Geliyor?
Çoğu okuyucu muhtemelen hiçbir zaman kişisel olarak bir fidye yazılımı arabulucusu kiralamayacak, ancak altta yatan ders geniş bir şekilde geçerlidir: hassas verilerinize erişimi olan üçüncü taraf satıcılar, ancak o satıcının organizasyonu içindeki en zayıf halka kadar güvenilirdir. İster bir hukuk firması, ister bir olay müdahale yüklenicisi, bir bulut sağlayıcı ya da kişisel veya finansal bilgilerinizi işleyen herhangi bir şirket olsun, bu ilişkinin güvenliği, dışarıdan göremediğiniz iç kontrollere bağlıdır.
İşletmeler için bu dava, bir fidye yazılımı olayı öncesinde ve sırasında zor sorular sormak için bir hatırlatmadır. Müzakere firmasındaki hangi kişilerin sigorta ayrıntılarına ve ödeme yetkisine erişimi var? Tek bir çalışanın gözetim olmaksızın tehdit aktörleriyle doğrudan iletişim kurmasını engelleyen iç kontroller var mı? Konuşmalar kaydediliyor ve inceleniyor mu? Bunlar çoğu şirketin bir krizin ortasında aklına gelen sorular değildir, ancak bir ihlal meydana gelmeden önce, sonrasında değil, durum tespitinin bir parçası olmalıdır.
Bireyler için çıkarılacak ders daha dolaylı olmakla birlikte yine de geçerlidir. İş yaptığınız bir şirket fidye yazılımı saldırısına uğradığında, müzakereler sırasında ihlal edilmiş verilerinize kimin eriştiği de dahil olmak üzere bu olayın yönetimi büyük ölçüde sizin kontrolünüz dışındadır. Bu, en başta herhangi bir tek kuruluşla paylaştığınız hassas kişisel veri miktarını en aza indirmek ve tek bir ihlalin daha geniş hesap ele geçirmelerine dönüşmemesi için parola yöneticileri ve çok faktörlü kimlik doğrulama gibi araçları kullanmak için bir nedendir.
İçeriden Kaynaklı Risk Karşısında Önde Kalmak İçin Öneriler
Bu mahkumiyet, bir fidye yazılımı müdahalesi sırasında içeriden ihanetin ciddi yasal sonuçlar doğurduğuna dair açık bir sinyal göndermektedir, ancak önleme, olaydan sonra cezalandırmaktan daha önemlidir. Kuruluşunuz olay müdahale veya müzakere firmalarıyla çalışıyorsa, belgelendirilmiş erişim kontrollerinde, müzakerelerin bağımsız gözetiminde ve açık sözleşmesel hesap verebilirlikte ısrar edin. Güvendiğiniz bir şirketteki bir ihlalden etkilenen bir bireyseniz, bildirimleri ciddiye alın, yeniden kullanılan parolaları değiştirin ve o kuruluşa bağlı hesapları izleyin.
Martino davası, fidye yazılımı arabuluculuğu alanında muhtemelen yıllarca uyarıcı bir örnek olarak gösterilecektir. Diğer herkes için ise, bir krizde güvenin kazanılması ve doğrulanması gerektiğine, varsayılmaması gerektiğine dair faydalı bir hatırlatmadır.
