Переговірник, якому довіряли, працював на зловмисників

Коли компанія стає жертвою програм-вимагачів, одним із перших дзвінків часто є до професійного переговірника, людини, яку наймають, щоб зменшити вимогу викупу, виграти час і виступити буфером між переляканими керівниками та кіберзлочинцями. Ця система повністю залежить від довіри. Нещодавнє федеральне винесення вироку показує, що трапляється, коли цю довіру зраджують зсередини.

Переговірника з програм-вимагачів засудили до 70 місяців федерального ув’язнення після того, як прокурори виявили, що він таємно змовився з угрупованням BlackCat (також відомим як ALPHV), водночас заявляючи, що представляє інтереси жертв. Замість того щоб захищати компанії, які його найняли, він, як стверджується, передавав зловмисникам конфіденційну інформацію, включно з даними про страхове покриття клієнтів та їхні ліміти виплат, що давало злочинцям змогу вимагати більше грошей і ефективніше чинити тиск. У межах вироку він також позбавляється конфіскованої криптовалюти, пов’язаної з цією схемою.

У справі виявлено щонайменше п’ять постраждалих організацій, зокрема виробника медичного обладнання з Флориди, якому спочатку висунули вимогу в 10 мільйонів доларів, але врешті-решт заплатили близько 1,2 мільйона доларів, фармацевтичну компанію з Меріленду та лікарський кабінет. Повний масштаб схеми, за повідомленнями, також перетнувся з конфліктами між конкуруючими угрупованнями вимагачів, коли одна з груп погрожувала викрити діяльність іншої, – це нагадування, що навіть кримінальні екосистеми не захищені від внутрішніх конфліктів і зради.

Як ця схема підривала становище жертв

Переговірники з програм-вимагачів посідають надзвичайно чутливе становище. Для виконання своєї роботи вони, як правило, потребують доступу до інформації, яку більшість компаній ніколи не передали б стороннім: скільки готівки доступно, що саме покриває поліс кіберстрахування, внутрішні дедлайни та наскільки відчайдушно керівництво прагне тихо вирішити ситуацію. Ця інформація має залишатися конфіденційною й використовуватися лише для захисту інтересів клієнта під час переговорів.

Коли ж переговірник передає цю інформацію зловмисникам, весь процес реагування на інцидент є скомпрометованим ще до його початку. Жертви вважають, що ведуть переговори з позиції поінформованої стратегії, тоді як насправді протилежна сторона вже знає їхню фінансову стелю. Цей дисбаланс, імовірно, пояснює, чому вимоги в цих випадках зростали настільки агресивно і чому початковий запит для виробника медичного обладнання був у вісім разів вищим за кінцеву виплату.

Це не поодинокий випадок. Як ми повідомляли в нашому матеріалі про засудженого у Флориді переговірника з програм-вимагачів в окремій американській справі про вимагання, правоохоронні органи виявили вже кількох переговірників, пов’язаних із тією самою мережею вимагання, до якої входить BlackCat. Ця модель свідчить, що йшлося не про поодиноку зраду, а про продуману, принаймні частково організовану спробу експлуатувати індустрію реагування на інциденти зсередини.

Наслідки для приватності постраждалих від витоку даних

Наслідки для приватності тут виходять далеко за межі сум викупу. Виробники медичного обладнання, фармацевтичні компанії та лікарські кабінети зазвичай зберігають чутливі дані пацієнтів і медичну інформацію. Коли переговірник таємно діє проти інтересів жертви, це порушує серйозні питання про те, яка інша чутлива інформація могла бути розкрита, використана неналежним чином або перетворена на додатковий інструмент тиску під час вимагання. Компанії, що працюють у сфері охорони здоров’я та інших регульованих галузях, уже зобов’язані захищати дані пацієнтів відповідно до суворих вимог конфіденційності, і внутрішня зрада під час інциденту з програмою-вимагачем ускладнює всі подальші рішення, зокрема питання про те, чи потрібно сповіщати постраждалих осіб і як саме це робити.

Це також виявляє сліпу зону, про яку багато організацій не замислюються, поки не стане надто пізно: постачальників послуг з реагування на інциденти, зокрема переговірників, компанії для проведення комп’ютерно-технічної експертизи та навіть юридичних радників, яких залучають під час витоку даних, рідко перевіряють із тією ж ретельністю, що й інші зовнішні ризики. Компанія може витратити значні ресурси на комплексну перевірку хмарного провайдера чи розробника програмного забезпечення, але під час кризи залучити переговірника переважно на основі репутації або терміновості.

Що це означає для вас

Якщо вашій організації коли-небудь знадобиться найняти переговірника з програм-вимагачів або компанію з реагування на інциденти, ця справа є приводом уповільнитися, а не панікувати. Незалежно перевіряйте кваліфікацію, а не покладайтеся виключно на рекомендації страховика або єдину контактну особу. Ставте прямі запитання про те, як обробляється, зберігається та передається інформація клієнта, і наполягайте на задокументованих межах щодо того, що переговірник може і чого не може розголошувати. Якщо ваш поліс кіберстрахування вимагає певного переліку постачальників, перегляньте цей список завчасно, до того, як станеться атака, а не поспішайте під час активного інциденту, коли і вплив, і здатність тверезо мислити вже підірвані.

Для приватних осіб висновок простіший, але теж важливий: якщо ви отримали сповіщення, що медична установа, аптека чи виробник медичного обладнання, з яким ви взаємодіяли, зазнали інциденту з програмою-вимагачем, поставтеся до цього серйозно, навіть якщо компанія стверджує, що витік даних був обмеженим. Подібні випадки показують, що внутрішнє опрацювання витоку може бути набагато заплутанішим, ніж це випливає з публічних заяв.

Висновки

Цей вирок – рідкісний, конкретний приклад того, як роль переговірника з програм-вимагачів, повністю побудована на конфіденційності та довірі, може бути використана як зброя проти тих самих організацій, які вона мала б захищати. Перевіряйте своїх постачальників послуг з реагування на інциденти ще до настання кризи, чітко прописуйте в контракті межі обміну інформацією і пам’ятайте: вплив переговірника з вимагачами залежить від того, що секретність залишається таємницею саме на вашому боці, а не на боці зловмисника.