Переговірник під час атак програм-вимагачів має бути тією людиною, яка бореться за жертву. Ця довіра була зруйнована у справі Анджело Мартіно, колишнього переговірника компанії з реагування на інциденти DigitalMint, якого засудили до 70 місяців федерального ув’язнення за те, що він таємно передавав конфіденційну інформацію клієнтів угрупованню програм-вимагачів BlackCat — тим самим зловмисникам, проти яких його найняли вести переговори.

Вирок завершує один із найбільш тривожних епізодів в історії програм-вимагачів: випадок, коли той, хто мав захищати, працював по обидва боки столу переговорів.

Довірений інсайдер став зрадником

Коли бізнес зазнає атаки програм-вимагачів, наймання професійного переговірника часто є одним із перших кроків після звернення до правоохоронців і юристів. Цих фахівців залучають саме тому, що жертви панікують, перевантажені технічними проблемами й відчайдушно намагаються уникнути подальшої шкоди. Хороший переговірник має вигравати час, відбивати завищені вимоги та, зрештою, знижувати викуп до суми, яку жертва зможе пережити, якщо виплата взагалі відбудеться.

Роль Мартіно в DigitalMint саме й помістила його в такі стосунки. Згідно з наведеними матеріалами, він використовував доступ до даних клієнтів, зокрема до інформації про те, під яким тиском перебувають жертви та скільки вони можуть бути готові заплатити, щоб допомогти операторам BlackCat отримувати більші викупи, а не менші. Фактично він перевернув роботу переговірника з ніг на голову, докладаючи зусиль, щоб завдати максимальної шкоди тим самим клієнтам, які найняли його для захисту.

Як раніше повідомляв vpn.social, ця оборудка повністю залежала від припущення, що лояльність переговірника спрямована лише в один бік. Дії Мартіно зруйнували це припущення так, що сколихнули всю індустрію реагування на інциденти.

Як працювала схема подвійного агента

Механіка схеми була простою, але руйнівною. Передаючи конфіденційні деталі, страхову інформацію, стратегію переговорів або дані про те, скільки організація-жертва реально могла заплатити, Мартіно забезпечував зловмисникам із BlackCat нечесну перевагу в кожних переговорах, до яких він був причетний. Замість того щоб під його нібито захистом вимоги викупу зменшувалися, вони непомітно конструювалися так, щоб зростати.

Це не був поодинокий інцидент. Пов’язані матеріали, зокрема звіт про ширшу схему переговірників BlackCat, зазначають, що Мартіно не був єдиним переговірником, причетним до такої поведінки у межах тієї самої операції з програмами-вимагачами. Окрема справа про засудженого у Флориді переговірника в пов’язаній схемі вимагання підкреслює, що це не був одноразовий збій у судженнях одного недобросовісного виконавця, а тенденція, яка використовувала структурну довіру, закладену в індустрію реагування на інциденти.

Семидесятимісячний вирок відображає серйозність, з якою федеральні прокурори поставилися до зради: це не була проста недбалість чи провал у безпеці, це був інсайдер, який свідомо працював проти людей, що довірили йому свою віру та свої чутливі дані.

Що це означає для вас

Більшості людей ця справа може здатися далекою від повсякденного життя, але вона зачіпає те, про що варто замислитися кожному: наскільки ми довіряємо посередникам, які під час кризи обробляють нашу найчутливішу інформацію. Переговірники з програм-вимагачів займають унікально привілейоване становище. Вони бачать внутрішні фінансові деталі, прогалини в безпеці та комунікації, які організація-жертва ніколи не хотіла б оприлюднити.

Коли цю довіру зловживають, наслідки виходять за межі безпосередніх компаній-жертв. Співробітники, клієнти та всі, чиї персональні дані зберігалися в скомпрометованих системах, можуть заплатити двічі: спочатку через саму атаку програм-вимагачів, а потім через переговорний процес, який таємно працював проти них.

Ця справа нагадує, що приватність і безпека під час інциденту з програмами-вимагачами не закінчуються, щойно найнято фахівця. Нагляд, перевірка та незалежний аналіз дій переговірника важливі так само, як і первинне реагування на саму атаку.

Практичні висновки

Якщо ваша організація коли-небудь опиниться в переговорах з операторами програм-вимагачів або якщо ви просто хочете зрозуміти, як розгортаються такі інциденти, зі справи Мартіно можна винести кілька уроків:

  • Ретельно перевіряйте постачальників послуг з реагування на інциденти та запитуйте, як вони контролюють власний персонал на предмет конфлікту інтересів під час активних переговорів.
  • Вимагайте прозорості щодо того, хто має доступ до чутливих деталей переговорів, включно з фінансовими лімітами та страховою інформацією.
  • Розгляньте можливість незалежного нагляду або другої контактної особи, коли йдеться про великі вимоги викупу, замість того щоб покладатися виключно на звіти одного переговірника.
  • Будьте обізнані про те, як насправді працюють переговори з програмами-вимагачами, оскільки розуміння стимулів, що діють, допомагає організаціям ставити правильні запитання до, а не після атаки.

Вирок переговірнику з програм-вимагачів за зраду власних клієнтів є крайнім випадком, але він підкреслює просту істину: довіру в кризовій ситуації потрібно заслуговувати та перевіряти, а не припускати.