Довірений інсайдер обернувся проти власних клієнтів
Коли компанія стає жертвою програми-вимагача, вона зазвичай звертається до переговірника — людини, чия робота полягає у спілкуванні зі зловмисниками, оцінці ситуації та спробах зменшити шкоду. Такі стосунки повністю залежать від довіри. Колишній переговірник компанії з реагування на інциденти DigitalMint щойно продемонстрував, що трапляється, коли цю довіру зраджують.
Анджело Мартіно, 41 рік, був засуджений до 70 місяців федерального ув’язнення за змову з групою програм-вимагачів BlackCat (також відомою як ALPHV) під час роботи переговірником, який нібито представляв інтереси жертв. Замість того, щоб виключно захищати своїх клієнтів, Мартіно використовував своє становище, щоб передавати інформацію назад тим самим злочинцям, від яких його клієнти намагалися захиститися, згідно з повідомленням Help Net Security. Ця справа, детальніше висвітлена в нашому попередньому матеріалі про 70-місячний вирок переговірнику DigitalMint, підкреслює загрозу, про яку більшість жертв програм-вимагачів навіть не замислюються: людина, найнята їх захищати.
Чому переговірники з програм-вимагачів володіють такою великою кількістю конфіденційних даних
Переговірники з програм-вимагачів займають унікально привілейоване становище. Щоб ефективно виконувати свою роботу, їм зазвичай потрібен доступ до деталей, які більшість співробітників всередині організації-жертви ніколи не бачать: масштаб порушення, які дані було викрадено, який обсяг кіберстрахування має компанія та скільки компанія реально готова або спроможна заплатити. Ця інформація є золотом для зловмисника. Наприклад, знаючи ліміти страхування жертви, група програм-вимагачів може відкалібрувати свої вимоги щодо викупу, щоб витиснути максимально можливу виплату.
Саме це робить справу Мартіно помітною з точки зору конфіденційності. Це не був зовнішній хакер, який зламував системи компанії. Це був інсайдер, людина, запрошена саме через той конфіденційний доступ, якого вимагала її роль, яка, ймовірно, використовувала цей доступ проти тих, хто її найняв. Компанії з реагування на інциденти та ведення переговорів існують тому, що більшість організацій не мають спеціальних навичок для самостійного подолання кризи з програмами-вимагачами. Така опора на зовнішніх експертів є розумною і часто необхідною, але це також означає, що жертви надають довіру третій стороні з мінімальною здатністю незалежно перевірити, чи виправдана ця довіра.
Ширша екосистема програм-вимагачів уже змушує жертв йти на складні компроміси щодо конфіденційності. Сплата викупу не гарантує, що викрадені дані будуть видалені, а добросовісне ведення переговорів передбачає, що з іншого боку, а також усі, хто вас консультує, також діють добросовісно. Подібна справа підриває це припущення таким чином, що може зробити жертв більш нерішучими щодо повного розкриття інформації тим самим фахівцям, які мають їм допомагати, потенційно уповільнюючи реагування на інцидент у найкритичніший момент.
Що це означає для вас
Більшість читачів ніколи особисто не найматимуть переговірника з програм-вимагачів, але основний урок стосується широкого кола: постачальники третіх сторін, які мають доступ до ваших конфіденційних даних, настільки ж надійні, наскільки слабка ланка всередині цієї організації. Чи це юридична фірма, підрядник із реагування на інциденти, хмарний провайдер або будь-яка компанія, яка обробляє вашу особисту чи фінансову інформацію, безпека таких відносин залежить від внутрішніх засобів контролю, яких ви не можете бачити ззовні.
Для бізнесу ця справа є нагадуванням ставити складні запитання до та під час інциденту з програмою-вимагачем. Хто в переговорній фірмі має доступ до деталей страхування та повноважень на оплату? Чи існують внутрішні засоби контролю, які запобігають спілкуванню одного працівника безпосередньо зі зловмисниками без нагляду? Чи записуються та перевіряються розмови? Це не ті запитання, які більшість компаній думають поставити в розпал кризи, але вони мають бути частиною належної перевірки ще до того, як порушення станеться, а не після.
Для окремих осіб висновок більш опосередкований, але не менш актуальний. Коли компанія, з якою ви маєте справу, зазнає атаки програми-вимагача, те, як обробляється цей інцидент, включно з тим, хто має доступ до ваших скомпрометованих даних під час переговорів, значною мірою не залежить від вас. Це ще одна причина мінімізувати обсяг конфіденційних персональних даних, якими ви ділитеся з будь-якою окремою організацією, та використовувати такі інструменти, як менеджери паролів і багатофакторна автентифікація, щоб одне порушення не призвело до ланцюгової компрометації ваших акаунтів.
Висновки, щоб випереджати інсайдерські ризики
Цей вирок надсилає чіткий сигнал, що інсайдерська зрада під час реагування на програми-вимагачі тягне за собою серйозні правові наслідки, але запобігання важливіше за покарання після факту. Якщо ваша організація працює з компаніями з реагування на інциденти чи переговорів, наполягайте на задокументованих засобах контролю доступу, незалежному нагляді за переговорами та чіткій договірній відповідальності. Якщо ви як приватна особа постраждали від порушення в компанії, якій довіряєте, ставтеся до сповіщень серйозно, змінюйте повторно використані паролі та відстежуйте акаунти, пов’язані з цією організацією.
Справу Мартіно, ймовірно, роками цитуватимуть як пересторожний приклад у сфері переговорів з програм-вимагачів. Для всіх інших це корисне нагадування, що довіру в умовах кризи потрібно заслужити та перевірити, а не припускати.
