Nhà đàm phán hai mang BlackCat bị kết án 70 tháng tù

Một nhà đàm phán ransomware lẽ ra phải là người duy nhất trong phòng chiến đấu vì nạn nhân. Niềm tin đó đã bị phá vỡ trong vụ án của Angelo Martino, cựu đàm phán viên tại công ty ứng phó sự cố DigitalMint, người bị kết án 70 tháng tù liên bang vì đã bí mật cung cấp thông tin khách hàng mật cho băng ransomware BlackCat – chính những kẻ tấn công mà anh ta được thuê để đàm phán.

Bản án khép lại một chương đáng lo ngại nhất trong lịch sử ransomware gần đây: một vụ án mà kẻ được cho là bảo vệ lại làm việc cho cả hai bên trên bàn đàm phán.

Người trong nội bộ đáng tin trở thành kẻ phản bội

Khi một doanh nghiệp bị ransomware tấn công, việc thuê một nhà đàm phán chuyên nghiệp thường là một trong những cuộc gọi đầu tiên sau khi liên hệ với cơ quan thực thi pháp luật và luật sư. Những chuyên gia này được đưa vào chính vì nạn nhân đang hoảng loạn, quá tải về mặt kỹ thuật và tuyệt vọng muốn tránh thêm thiệt hại. Một nhà đàm phán giỏi phải câu thêm thời gian, đẩy lùi những đòi hỏi bị thổi phồng và cuối cùng giảm số tiền chuộc xuống mức nạn nhân có thể sống sót để trả, nếu việc trả tiền diễn ra.

Vai trò của Martino tại DigitalMint đặt anh ta vào đúng mối quan hệ đó. Theo báo cáo cơ bản, anh ta đã sử dụng quyền truy cập vào các chi tiết của khách hàng, bao gồm thông tin về áp lực mà nạn nhân đang chịu và những gì họ có thể sẵn sàng trả, để giúp những kẻ điều hành BlackCat moi được những khoản tiền lớn hơn thay vì nhỏ hơn. Về bản chất, anh ta đã đảo ngược công việc của một nhà đàm phán, ra sức tối đa hóa tổn hại cho chính những khách hàng đã thuê anh ta để được bảo vệ.

Như vpn.social đã đưa tin trước đây, sự sắp xếp này hoàn toàn dựa trên giả định rằng lòng trung thành của một nhà đàm phán chỉ đi theo một hướng. Hành vi của Martino đã phá vỡ giả định đó theo cách làm rung chuyển ngành công nghiệp ứng phó sự cố.

Cách thức hoạt động của mánh khóe hai mang

Cơ chế của mánh khóe này rất đơn giản nhưng đầy sức tàn phá. Bằng cách chuyển đi những chi tiết mật, thông tin bảo hiểm, chiến lược đàm phán hoặc số tiền một tổ chức nạn nhân thực tế có thể chi trả, Martino đã cho những kẻ tấn công của BlackCat một lợi thế không công bằng trong mọi cuộc đàm phán mà anh ta chạm tới. Thay vì các yêu cầu tiền chuộc giảm đi dưới sự vận động được cho là của anh ta, chúng lại được âm thầm thiết kế để tăng lên.

Đây cũng không phải là một sự cố cá biệt. Các bài báo liên quan đến vụ án, bao gồm báo cáo về mánh khóe đàm phán BlackCat rộng hơn, ghi nhận rằng Martino không phải là nhà đàm phán duy nhất bị liên lụy trong loại hành vi này gắn với cùng một hoạt động ransomware. Một vụ án riêng biệt liên quan đến một nhà đàm phán ở Florida bị kết án trong một âm mưu tống tiền liên quan nhấn mạnh rằng đây không phải là một lần sai lầm nhất thời của một cá nhân xấu duy nhất, mà là một khuôn mẫu khai thác lòng tin cấu trúc được xây dựng trong ngành ứng phó sự cố.

Mức án 70 tháng phản ánh mức độ nghiêm trọng mà các công tố viên liên bang xử lý sự phản bội: đây không phải là sự bất cẩn đơn giản hay một lỗi bảo mật, mà là một kẻ trong nội bộ cố tình chống lại những người đã đặt niềm tin và dữ liệu nhạy cảm của họ vào tay anh ta.

Điều này có ý nghĩa gì đối với bạn

Với hầu hết mọi người, vụ án này có vẻ xa rời cuộc sống hàng ngày, nhưng nó chạm đến điều mà ai cũng nên quan tâm: chúng ta đặt bao nhiêu niềm tin vào những trung gian xử lý thông tin nhạy cảm nhất của mình trong một cuộc khủng hoảng. Các nhà đàm phán ransomware ngồi ở một vị trí đặc quyền duy nhất. Họ thấy các chi tiết tài chính nội bộ, các lỗ hổng bảo mật và các thông tin liên lạc mà một tổ chức nạn nhân sẽ không bao giờ muốn công khai.

Khi lòng tin đó bị lạm dụng, hậu quả lan ra ngoài các công ty nạn nhân trực tiếp. Nhân viên, khách hàng và bất kỳ ai có dữ liệu cá nhân bị giữ trong các hệ thống bị xâm nhập đó có thể phải trả giá gấp đôi: một lần qua vụ tấn công ransomware ban đầu, và một lần nữa qua một quá trình đàm phán bí mật chống lại họ.

Vụ án này là một lời nhắc nhở rằng quyền riêng tư và bảo mật trong một sự cố ransomware không kết thúc khi một chuyên gia được thuê. Giám sát, xác minh và đánh giá độc lập về hành vi của nhà đàm phán cũng quan trọng không kém việc ứng phó ban đầu với chính cuộc tấn công.

Những bài học thực tiễn

Nếu tổ chức của bạn từng phải đàm phán với những kẻ điều hành ransomware, hoặc nếu bạn chỉ đơn giản muốn hiểu cách những sự cố này diễn ra, một vài bài học nổi bật từ vụ án Martino:

• Kiểm tra kỹ lưỡng các nhà cung cấp ứng phó sự cố, và hỏi cách họ giám sát nhân viên của chính mình về xung đột lợi ích trong các cuộc đàm phán đang diễn ra.
• Yêu cầu sự minh bạch về những ai có quyền truy cập vào các chi tiết đàm phán nhạy cảm, bao gồm các giới hạn tài chính và thông tin bảo hiểm.
• Xem xét giám sát độc lập hoặc một đầu mối liên lạc thứ hai khi có các yêu cầu tiền chuộc lớn, thay vì chỉ dựa vào lời kể của một nhà đàm phán duy nhất về quá trình này.
• Luôn cập nhật thông tin về cách đàm phán ransomware thực sự hoạt động, vì hiểu được các động cơ đang vận hành giúp các tổ chức đặt những câu hỏi tốt hơn trước, chứ không phải sau, khi một cuộc tấn công xảy ra.

Việc kết án một nhà đàm phán ransomware vì phản bội chính khách hàng của mình là một trường hợp cực đoan, nhưng nó làm nổi bật một sự thật đơn giản: lòng tin trong khủng hoảng phải được giành lấy và xác minh, chứ không phải mặc nhiên thừa nhận.