Довірений інсайдер, який став спільником

Коли компанія стає жертвою програм-вимагачів, вона часто звертається до спеціалізованого переговірника, який веде делікатну розмову з високими ставками зі зловмисниками. Саме цю роль виконував Анджело Мартіно, 41 рік, у DigitalMint — компанії, яка допомагає організаціям долати інциденти з програмами-вимагачами та вести переговори про виплату викупу від їхнього імені. Мартіно залучали під час активних випадків порушень, де він сидів на боці, який мав захищати жертв.

Натомість, згідно з судовими документами, Мартіно таємно співпрацював із афілійованими особами угруповання програм-вимагачів BlackCat (також відомого як ALPHV), одного з найбільш сумнозвісних вимагальницьких угруповань останніх років. Замість того щоб захищати інтереси своїх клієнтів, він нібито передавав зловмисникам конфіденційну інформацію зсередини переговорів, які мав вести від імені жертв. Ці інсайдерські дані, як повідомляється, допомогли угрупованню вимагати більші виплати; за даними розслідування, ця схема сприяла вимаганню близько 75 мільйонів доларів від організацій-жертв у численних інцидентах. Мартіно визнав провину й був засуджений до 70 місяців федерального ув’язнення.

Як ця схема підірвала процес переговорів при програмах-вимагачах

Переговори щодо програм-вимагачів існують тому, що компанії, які зазнають атаки, часто не мають спеціалізованої експертизи для спілкування зі злочинними угрупованнями, оцінки достовірності загроз або визначення, чи доцільно взагалі платити викуп. Фірми на кшталт DigitalMint покликані виконувати роль брандмауера, використовуючи свій досвід, щоб зменшувати вимоги, перевіряти здатність відновлювати дані та не давати вимагачам скористатися жертвами двічі.

Справа Мартіно перевертає цю модель з ніг на голову. Передаючи конфіденційні деталі з активних переговорів, включаючи внутрішню інформацію про клієнтів, фінансові пороги та стан важелів впливу жертви, він фактично надав афілійованим особам BlackCat готовий сценарій, потрібний для максимального збільшення виплат. Це глибоке порушення довіри не лише між Мартіно та його роботодавцем, а й між роботодавцем і кожним клієнтом, який вважав, що його команда реагування на кризу працює виключно на нього.

Цей тип внутрішньої змови особливо шкідливий, тому що жертви програм-вимагачів і без того перебувають у вразливому становищі. На них часто тиснуть, вимагаючи швидких рішень щодо конфіденційних даних, простоїв у роботі та регуляторних наслідків. Такі випадки, як виплата викупу компанією Instructure після зламу Canvas, показують, як організації іноді доходять висновку, що виплата — це найменш шкідливий із доступних варіантів. Коли переговірник, який бере участь в ухваленні цього рішення, має фінансовий стимул діяти проти жертви, весь розрахунок, покладений в основу виправдання платежу, стає скомпрометованим.

Чому ця справа породжує більші проблеми конфіденційності для бізнесу

Наслідки для конфіденційності тут виходять далеко за межі безпосередніх фінансових втрат. Переговори щодо програм-вимагачів зазвичай передбачають обмін вкрай чутливими матеріалами: обсягом викрадених даних, внутрішніми оцінками безпеки, листуванням керівництва та деталями того, скільки компанія готова заплатити. Жертви діляться цією інформацією, припускаючи, що вона залишається в суворо контрольованому колі довірених осіб, які реагують на інцидент.

Дії Мартіно демонструють, що сама екосистема реагування на інциденти може стати точкою відмови. Навіть організації, які роблять усе правильно після зламу — наймають авторитетні фірми, дотримуються рекомендованих протоколів і співпрацюють із правоохоронними органами, — можуть опинитися в ситуації, коли їхні дані та переговорну позицію підривають зсередини. Це перегукується з тактикою тиску, яку використовували в інших гучних кампаніях вимагання, наприклад, коли ShinyHunters спотворювали шкільні портали під час загострення вимагань у справі Canvas, де зловмисники покладалися на публічне приниження та тиск через дані, щоб домогтися результату.

Що це означає для вас

Якщо ваша організація колись опиниться в ситуації переговорів із групою програм-вимагачів, ця справа нагадує, що процес вибору постачальника послуг заслуговує такої ж ретельної перевірки, як і ваші інструменти кібербезпеки. Запитайте потенційні фірми-переговірники про внутрішній контроль, перевірку співробітників і те, як дані клієнтів сегментуються та контролюються під час активного інциденту. Вимагайте ясності щодо того, хто має доступ до деталей переговорів і чи має якась особа необмежені повноваження в комунікації зі зловмисниками.

Для приватних осіб і малих бізнесів, які не мають ресурсів для ретельної перевірки постачальників, висновок ширший: зведіть до мінімуму обсяг конфіденційних даних, які можуть бути скомпрометовані. Надійні практики резервного копіювання, сегментація мережі та обмеження обсягу особистої чи фінансової інформації, що зберігається в легкодоступних системах, зменшують важелі впливу, які угруповання програм-вимагачів або скомпрометований інсайдер можуть мати над вами.

Ключові висновки

  • Перевіряйте фірми з реагування на інциденти та переговорів з такою ж ретельністю, як і будь-якого постачальника, що працює з конфіденційними даними.
  • Запитуйте, як фірми-переговірники внутрішньо контролюють та аудитують доступ співробітників під час активних випадків програм-вимагачів.
  • Зменшуйте обсяг конфіденційних даних, що зберігаються в системах, уразливих до компрометації, оскільки менший обсяг скомпрометованих даних означає менше важелів для зловмисників чи інсайдерів.
  • Ставтеся до переговорів щодо програм-вимагачів як до рішення, що потребує власного нагляду, а не як до «чорної скриньки», якою повністю керує третя сторона.

Справа Мартіно — рідкісний, але серйозний приклад зради з боку інсайдера в індустрії реагування на програми-вимагачі. Це не означає, що фірмам-переговірникам не можна довіряти загалом, але підкреслює, що довіру слід перевіряти, а не припускати, особливо коли на кону — найбільш чутливі деталі порушення безпеки компанії.