Chuyện gì đã xảy ra: Người đàm phán làm việc cho cả hai phía
Khi một công ty bị tấn công bằng ransomware, một trong những cuộc gọi đầu tiên họ thực hiện là đến một người đàm phán: một chuyên gia được tin tưởng để đứng giữa nạn nhân hoảng loạn và băng nhóm tội phạm, làm việc để giảm số tiền chuộc hoặc kéo dài thời gian phục hồi. Mối quan hệ đó hoàn toàn dựa trên lòng tin. Theo báo cáo từ Malwarebytes, một người đàm phán như vậy đã phá vỡ lòng tin đó theo cách gây tổn hại nhất có thể. Thay vì giúp nạn nhân chống lại băng nhóm ransomware BlackCat, anh ta bí mật cung cấp thông tin cho bọn tội phạm từ bên trong các cuộc đàm phán mà lẽ ra anh ta phải điều hành thay mặt nạn nhân.
Kết quả là một kịch bản đe dọa nội bộ từ người đàm phán ransomware khiến nạn nhân thiệt hại hàng triệu đô. Thay vì đóng vai trò như một bức tường lửa giữa công ty và kẻ tấn công, người đàm phán này thực chất đã trở thành kẻ tấn công thứ hai, một kẻ có quyền truy cập đặc quyền vào giới hạn tài chính, chiến lược pháp lý và mức sẵn sàng chi trả của nạn nhân. Điều này tệ hại ngang với mức thất bại tồi tệ nhất trong ứng phó sự cố, bởi vì nó biến chính biện pháp bảo vệ mà các tổ chức phải trả tiền thành một gánh nặng rủi ro.
Cách các băng nhóm ransomware-as-a-service tuyển dụng những trung gian đáng tin cậy
BlackCat, còn được biết đến với tên ALPHV, hoạt động như một nhóm ransomware-as-a-service (RaaS), có nghĩa là nó cấp phép mã độc và hạ tầng cho các chi nhánh (affiliate) thực hiện tấn công và chia sẻ lợi nhuận. Mô hình kinh doanh này luôn dựa vào việc xây dựng mạng lưới những người sẵn sàng hợp tác để được chia một phần lợi nhuận, từ những kẻ môi giới truy cập ban đầu bán thông tin đăng nhập bị đánh cắp cho đến các chi nhánh triển khai tải trọng mã hóa thực tế. Một người đàm phán bị tha hóa hoặc đồng lõa chỉ đơn giản là phần mở rộng hợp lý tiếp theo của mạng lưới đó: một người gắn chặt vào hệ sinh thái ứng phó sự cố hợp pháp, có thể chia sẻ thông tin tình báo mà băng nhóm không bao giờ tự mình có được.
Đây chính là lý do vụ việc này quan trọng vượt ra ngoài riêng BlackCat. Các băng nhóm ransomware ngày càng hiểu rằng mắt xích yếu nhất trong ứng phó vi phạm không phải lúc nào cũng là tường lửa hay một máy chủ chưa vá lỗi. Nó có thể là một con người, và cụ thể là một người mà nạn nhân đã chọn để tin tưởng trong thời khắc căng thẳng nhất của một sự cố bảo mật. Nguyên tắc khai thác lòng tin và quyền truy cập tương tự cũng xuất hiện khắp bối cảnh ransomware và tống tiền dữ liệu, bao gồm các sự cố như vụ ShinyHunters xâm phạm hệ thống nhân sự của Hội đồng Châu Âu, nơi kẻ tấn công một lần nữa chứng tỏ cách các nhóm tội phạm có thể khai thác quyền truy cập nội bộ hiệu quả ra sao khi chúng đã tìm được đường vào.
Tại sao điều này mở rộng bề mặt tấn công cho nạn nhân bị vi phạm
Hầu hết các tổ chức nghĩ về rủi ro ransomware trong phạm vi mạng lưới của chính họ: điểm cuối, máy chủ, sao lưu, đào tạo nhân viên. Rất ít tổ chức nghĩ đến rủi ro từ các nhà cung cấp và chuyên gia tư vấn mà họ đưa vào sau khi cuộc tấn công đã bắt đầu. Nhưng một người đàm phán, giống như một điều tra viên pháp y số hoặc một chuyên gia hướng dẫn ứng phó vi phạm, thường có quyền truy cập vào một số thông tin nhạy cảm nhất mà công ty sở hữu trong khủng hoảng: số tiền chuộc nạn nhân sẵn sàng trả, dữ liệu nào thực sự bị đánh cắp, và tổ chức đó tuyệt vọng đến mức nào để tránh bị lộ công khai.
Khi quyền truy cập đó bị lạm dụng, thiệt hại sẽ chồng chất. Nạn nhân không chỉ mất tiền cho khoản tiền chuộc, mà còn mất toàn bộ lợi thế thương lượng họ có, bởi vì băng nhóm đã biết giới hạn cuối cùng của họ ngay cả trước khi đàm phán bắt đầu. Vụ việc này là lời nhắc nhở rằng chuỗi cung ứng ứng phó sự cố xứng đáng được giám sát kỹ lưỡng như bất kỳ mối quan hệ nhà cung cấp nào khác, và niềm tin trong khủng hoảng không bao giờ nên được mặc định chỉ vì ai đó có chức danh công việc phù hợp.
Cách thẩm định các chuyên gia ứng phó sự cố và đàm phán trước khi khủng hoảng xảy ra
Thời điểm tốt nhất để thẩm định một người đàm phán ransomware hoặc công ty ứng phó sự cố là trước khi một cuộc tấn công xảy ra, chứ không phải trong lúc đang bị tấn công, khi áp lực thời gian khiến việc thẩm định cẩn thận gần như bất khả thi. Các tổ chức có thể thực hiện một số bước cụ thể:
- Xác nhận thành tích của công ty và yêu cầu tham khảo từ các khách hàng trước đây đã trải qua các sự cố tương tự.
- Hỏi cách công ty thẩm định chính nhân viên của mình, bao gồm kiểm tra lý lịch và các biện pháp kiểm soát nội bộ về những ai có thể truy cập chi tiết đàm phán.
- Yêu cầu nhật ký liên lạc được ghi chép đầy đủ và có thể kiểm toán trong suốt bất kỳ cuộc đàm phán nào, thay vì chỉ dựa vào một đầu mối liên hệ duy nhất.
- Có sự tham gia của cố vấn pháp lý bên ngoài hoặc một cố vấn an ninh thứ hai để xác minh độc lập các quyết định lớn, chẳng hạn như số tiền chuộc hay thời điểm thanh toán.
- Xây dựng trước các mối quan hệ và hợp đồng với nhà cung cấp này, như một phần của thỏa thuận giữ chân ứng phó sự cố, thay vì vội vàng tìm kiếm trợ giúp giữa lúc đang bị vi phạm.
Điều này có ý nghĩa gì với bạn
Nếu tổ chức của bạn có kế hoạch ứng phó ransomware, vụ việc này là một lời nhắc nhở tốt để xem xét lại những ai thực sự có mặt trong kế hoạch đó và bạn hiểu rõ họ đến mức nào. Mối đe dọa nội bộ từ người đàm phán ransomware là hiếm gặp, nhưng hậu quả đủ nghiêm trọng để một chút nỗ lực thẩm định trước là đáng giá. Logic tương tự cũng áp dụng cho bất kỳ bên thứ ba nào có quyền truy cập đặc quyền trong một vụ vi phạm: các điều tra viên pháp y số, cố vấn pháp lý và công ty quan hệ công chúng đều xứng đáng được giám sát kỹ lưỡng như bạn áp dụng cho một nhà cung cấp phần mềm mới.
Những điểm chính cần ghi nhớ
- Thẩm định các công ty ứng phó sự cố và đàm phán trước khi khủng hoảng xảy ra, bao gồm kiểm tra lý lịch nhân viên và tham khảo.
- Yêu cầu nhật ký được ghi chép và có thể kiểm toán cho mọi cuộc đàm phán tiền chuộc thay vì chỉ dựa vào một cá nhân đáng tin cậy duy nhất.
- Xem các bên thứ ba tham gia ứng phó là một phần trong bề mặt tấn công của bạn, chứ không chỉ là tuyến phòng thủ.
- Luôn cập nhật cách các nhóm ransomware và tống tiền khai thác lòng tin ở từng giai đoạn của một vụ vi phạm, từ truy cập ban đầu cho đến đàm phán cuối cùng.
