Арешт відомого переговорника з викупу, про який повідомив Dark Reading, порушив незручне питання для будь-якої організації, якій доводилося планувати дії на випадок зламу: що стається, коли людина, яку ви наймаєте для взаємодії зі зловмисниками, працює на іншу сторону? Ця справа є красномовним нагадуванням, що перевірка переговорника з викупу на предмет внутрішніх загроз має бути частиною кожного плану реагування на інциденти, а не лише технічних засобів контролю навколо нього.
У вихідній статті урок подано як потребу в посиленому нагляді за програмами роботи з постачальниками. У цій публікації розглянемо, як відбуваються переговори, що виявляє арешт і що можуть зробити малі підприємства та користувачі, які дбають про приватність.
Як насправді працюють шантаж і переговори щодо викупу
Коли компанія зазнає атаки програм-вимагачів, один із перших дзвінків часто адресують професійному переговорнику. Його завдання — спілкуватися зі зловмисниками, оцінювати ситуацію та намагатися зменшити шкоду. Він діє як буфер між охопленими панікою жертвами та злочинцями, які можуть вимагати сплати для відновлення систем або для нерозголошення викрадених даних.
Така домовленість працює лише тоді, коли жертва повністю довіряє посереднику. Переговорник бачить вимогу про викуп, дізнається, які дані було викрадено, і часто розуміє, скільки жертва може дозволити собі сплатити та наскільки терміново їй потрібно повернути системи. Жертви зазвичай майже не мають змоги перевірити щось із цього самостійно. Вони в кризі, обмежені в часі й покладаються на досвід переговорника.
Шантажем також стає дедалі важче керувати. Глобальне опитування, про яке повідомив The Register, виявило, що 37% атак програм-вимагачів тепер включають особисті погрози, психологічні або фізичні. У міру зростання тиску на жертв зростає і їхня залежність від людей, які їх скеровують.
Що арешт переговорника виявляє про внутрішній ризик
Більшість планування безпеки зосереджена на зовнішніх зловмисниках і, меншою мірою, на працівниках. Сторонні постачальники часто вважаються довіреними за замовчуванням, особливо фахівці, залучені під час надзвичайної ситуації. Арешт показує слабкість цього припущення. Посередник із доступом до чутливих переговорів має позицію величезного впливу, і якщо його інтереси розходяться з інтересами клієнта, клієнт може ніколи про це не дізнатися.
Це не суто гіпотетичний страх. Супутній матеріал на vpn.social детально описує, як колишній переговорник DigitalMint отримав 70 місяців за угоду з BlackCat, а окремий репортаж висвітлює, як переговорника Мартіно засудили до 70 місяців за зв'язки з BlackCat. Ці публікації містять конкретні деталі справи й підкреслюють ширшу тезу: відносини з переговорником ґрунтуються на довірі, яку рідко перевіряють.
Висновок із репортажу Dark Reading не в тому, що всі переговорники підозрілі. Він у тому, що постачальник із таким рівнем доступу заслуговує на таку саму перевірку, як і будь-яка інша внутрішня загроза високого ризику.
Чому піддаються жертви та їхні дані, коли постачальника скомпрометовано
Якщо переговорника або іншого постачальника послуг реагування скомпрометовано чи він діє проти клієнта, вплив може сягати далеко за межі самого викупу. З огляду на роль, яку відіграє переговорник, до сфер занепокоєння належать:
- Стратегія переговорів: бюджет жертви, строки та готовність платити — усе це видно посереднику.
- Деталі викрадених даних: переговорники зазвичай дізнаються, що було викрадено, а це важливо для кожного, чия особиста інформація була в тих файлах.
- Ухвалення рішень: поради щодо того, платити, зволікати чи чинити опір, формують результат для компанії та для постраждалих людей.
- Комунікації: кожне повідомлення до зловмисників і від них проходить через переговорника.
Для окремих осіб ризик є непрямим, але реальним. Клієнти, пацієнти та працівники, чиї дані зберігаються в зламаній організації, не мають голосу в тому, якого постачальника обрано, але вони несуть наслідки, якщо цей вибір виявиться неправильним.
Як перевіряти постачальників послуг реагування на злами ще до того, як вони знадобляться
Найкращий час для оцінки переговорника чи фірми з реагування на інциденти — до атаки, коли можна спокійно ставити запитання. У вихідній статті закликають до посиленого нагляду за програмами роботи з постачальниками, і ці кроки є практичним способом застосувати цю ідею. Це загальна належна практика, а не вимоги, взяті з цієї справи.
- Обирайте постачальників заздалегідь. Вибір фірми під тиском не залишає місця для належної перевірки. Сформуйте перевірений короткий список як частину вашого плану реагування на інциденти.
- Запитайте про внутрішні механізми контролю. Як фірма перевіряє власний персонал? Хто має доступ до клієнтських переговорів, і чи цей доступ журналюється та переглядається?
- Зафіксуйте очікування письмово. Контракти мають охоплювати конфіденційність, конфлікти інтересів і розкриття будь-яких зв'язків із загрозливими суб'єктами чи іншими сторонами.
- Забезпечте другий погляд на рішення. Переконайтеся, що ваше власне керівництво, юридичний радник або страховик переглядають ключові вибори, а не залишають їх одній особі.
- Обмежуйте обмін даними. Надавайте постачальникам лише те, що їм потрібно, і ведіть облік того, що вони отримали.
- Регулярно переглядайте відносини. Ставтеся до постачальників послуг реагування як до частини вашої програми управління ризиками третіх сторін, із періодичними перевірками, а не одноразовим схваленням.
Що це означає для вас
Якщо ви керуєте малим бізнесом, у вас може не бути окремої команди з безпеки, що робить довіру до постачальників ще важливішою. Запитайте у свого страховика з кібербезпеки або IT-провайдера, з якими фірмами реагування вони працюють, і з'ясуйте, як наглядають за цими фірмами. Кілька запитань, поставлених зараз, коштують значно менше, ніж погане рішення, ухвалене посеред кризи.
Якщо ви приватна особа, практичний крок — обмежити те, що організації зберігають про вас. Діліться лише тими даними, які сервіс справді потребує, використовуйте унікальні паролі та багатофакторну автентифікацію й стежте за повідомленнями про злами, щоб мати змогу швидко діяти, якщо вашу інформацію буде розкрито. Ви не можете перевірити постачальника послуг реагування на інциденти компанії, але можете зменшити шкоду, якщо щось піде не так.
Ключові висновки
Арешт відомого переговорника з викупу є нагадуванням, що посередники можуть бути внутрішнім ризиком і що перевірка переговорника з викупу на предмет внутрішніх загроз має стояти поряд із резервними копіями та виправленням у вашому плані підготовки. Обирайте постачальників до кризи, ставте жорсткі запитання про їхні механізми контролю та зберігайте незалежний нагляд за ключовими рішеннями.
Щоб дізнатися конкретні деталі справи, прочитайте наш матеріал про засудженого колишнього переговорника DigitalMint. Щоб побачити, чому довіра до постачальників стає ще важливішою в міру ескалації шантажу, ознайомтеся з опитуванням про особисті погрози в атаках програм-вимагачів.
