Đồng sáng lập CYPFER Dubrovsky bị bắt tại Pennsylvania ngày 8 tháng 10

Tin tức rằng một nhà đàm phán ransomware bị bắt với cáo buộc tống tiền là đồng sáng lập của một công ty mà các nạn nhân thuê để được giúp đỡ đã làm chấn động một ngành được xây dựng trên sự tin cậy. Edward Dubrovsky, đồng sáng lập của CYPFER, một công ty đàm phán với các nhóm vận hành ransomware, đã bị bắt vào ngày 8 tháng 10 tại Pennsylvania. Các báo cáo báo chí liên kết vụ việc với nhóm ShinyHunters, nhưng FBI chưa xác nhận mối liên hệ đó.

Bài viết này bám sát những gì đã được báo cáo, nêu rõ những gì vẫn chưa được biết, và giải thích lý do câu chuyện này quan trọng đối với các tổ chức và cá nhân có thể một ngày nào đó phải đối mặt với yêu cầu tống tiền.

Những gì chúng ta biết về vụ bắt giữ Dubrovsky

Các sự kiện được xác nhận còn hạn chế. Dubrovsky là đồng sáng lập của CYPFER, một công ty có công việc liên quan đến đàm phán với các nhóm vận hành ransomware thay mặt cho nạn nhân. Ông bị bắt vào ngày 8 tháng 10 tại Pennsylvania, và các cáo buộc liên quan đến tống tiền.

Ngoài những điều đó, hồ sơ công khai rất mỏng. Nguồn tin báo cáo không nêu chi tiết các cáo buộc cụ thể, mốc thời gian của bất kỳ hành vi bị cáo buộc nào, hoặc liệu có khách hàng nào của CYPFER bị ảnh hưởng hay không. Việc bắt giữ không phải là kết tội, và Dubrovsky được hưởng quyền suy đoán vô tội. Độc giả nên cảnh giác với bất kỳ tường thuật nào lấp đầy những khoảng trống đó bằng sự chắc chắn.

Mối liên hệ với ShinyHunters cho thấy và không cho thấy điều gì

Một số bài báo liên kết vụ việc với ShinyHunters, một nhóm nổi tiếng với các chiến dịch tống tiền. FBI chưa xác nhận điều này. Sự khác biệt đó quan trọng.

Một liên kết truyền thông có thể có nghĩa là nhiều thứ: một phóng viên đã xem tài liệu tòa án, một nguồn tin đã mô tả cuộc điều tra, hoặc những người quan sát đang đưa ra suy luận từ thời điểm. Không điều nào trong số đó giống với một tuyên bố chính thức từ các nhà điều tra. Cho đến khi các tài liệu buộc tội hoặc tuyên bố của cơ quan nêu rõ mối liên hệ, nó nên được coi là một mối liên hệ được báo cáo, không phải là sự thật đã được xác lập.

Cũng đáng nhớ rằng bản thân các nhóm tống tiền là những người kể chuyện không đáng tin cậy. Các tuyên bố của họ thường được thiết kế để gây áp lực lên nạn nhân, như được trình bày trong bài viết của chúng tôi về cách các tuyên bố về vi phạm Carhartt bị cắt giảm một nửa sau đánh giá của Troy Hunt. Sự hoài nghi áp dụng cho mọi bên trong một câu chuyện như thế này, bao gồm cả nguồn tin ẩn danh.

Cách các công ty đàm phán ransomware hoạt động và rủi ro nằm ở đâu

Khi một công ty bị tấn công ransomware, họ thường gọi một công ty ứng phó sự cố. Một số công ty này chuyên liên lạc với những kẻ tấn công: xác nhận dữ liệu nào đã bị lấy, câu giờ, và đôi khi đàm phán thanh toán. Các nạn nhân thường trao cho những công ty này quyền truy cập sâu vào các chi tiết nhạy cảm, bao gồm phạm vi của vụ xâm nhập, giới hạn tài chính của tổ chức, và mức độ khẩn cấp cần khôi phục hệ thống.

Chính quyền truy cập đó là thứ tạo ra rủi ro. Một nhà đàm phán ngồi giữa một nạn nhân tuyệt vọng và một tội phạm, và nạn nhân thường không thể xác minh những gì được nói trong các cuộc trò chuyện đó. Ngành này cũng được quản lý lỏng lẻo, vì vậy khách hàng phụ thuộc rất nhiều vào danh tiếng và đạo đức của công ty.

Đây không phải là lần đầu tiên ngành này bị soi xét. Gần đây chúng tôi đã đưa tin về nhà sáng lập Monster Cloud Zohar Pinhasi bị bắt vì các tuyên bố đòi tiền chuộc, điều này cũng làm nổi bật một góc khuất khó chịu của ứng phó sự cố. Hai vụ việc không chứng minh một xu hướng, nhưng chúng mời gọi những câu hỏi sát sao hơn về giám sát.

Vụ bắt giữ báo hiệu điều gì cho nạn nhân và cơ quan thực thi pháp luật

Đối với cơ quan thực thi pháp luật, việc bắt giữ đồng sáng lập một công ty đàm phán cho thấy các nhà điều tra sẵn sàng xem xét các trung gian xung quanh ransomware, không chỉ các nhóm tội phạm. Chi tiết của vụ việc này vẫn chưa xuất hiện, vì vậy còn quá sớm để nói cách tiếp cận đó mở rộng đến đâu.

Đối với nạn nhân, vụ việc là lời nhắc nhở rằng thuê một nhà đàm phán là một quyết định đáng được thẩm định kỹ lưỡng, không phải là một giao dịch mua trong hoảng loạn.

Điều này có nghĩa gì với bạn

Nếu bạn điều hành hoặc cố vấn cho một tổ chức, câu chuyện này không phải là lý do để tránh sự giúp đỡ chuyên nghiệp trong một cuộc tấn công. Những người ứng phó có kinh nghiệm có thể có giá trị. Đây là lý do để thẩm định sự giúp đỡ đó một cách cẩn thận.

Nếu bạn là một cá nhân, tác động thực tế là gián tiếp. Nhiều vụ vi phạm làm lộ dữ liệu cá nhân kết thúc bằng tống tiền, và những người xử lý các cuộc đàm phán đó ảnh hưởng đến cách dữ liệu của bạn được xử lý. Hãy đối xử với các tuyên bố từ kẻ tấn công, và từ các liên kết báo chí chưa được xác minh, một cách thận trọng cho đến khi được xác nhận.

Những điểm cần hành động

• Thẩm định các đối tác ứng phó sự cố của bạn trước. Hỏi về kiểm tra lý lịch, chính sách xung đột lợi ích, và cách các cuộc liên lạc đàm phán được ghi lại.
• Giữ hồ sơ và giám sát. Đảm bảo ban lãnh đạo và cố vấn pháp lý có thể xem bản ghi đàm phán và các quyết định.
• Tham gia cơ quan thực thi pháp luật sớm. Báo cáo sự cố cho các cơ quan có thẩm quyền thích hợp thay vì chỉ dựa vào các trung gian tư nhân.
• Tách cáo buộc khỏi sự thật. Mối liên hệ với ShinyHunters chưa được xác nhận. Chờ xác nhận chính thức trước khi đưa ra kết luận.
• Đọc mô hình rộng hơn. Vụ bắt giữ Monster Cloud phù hợp với một mô hình soi xét các nhà đàm phán, và bài viết về Carhartt ở trên cho thấy tại sao các tuyên bố của nhóm tống tiền nên được đọc một cách phê phán.

Câu chuyện về một nhà đàm phán ransomware bị bắt với cáo buộc tống tiền vẫn đang tiếp diễn. Hãy kiểm tra các cập nhật chính thức trước khi hình thành quan điểm, và sử dụng thời điểm này để xem xét bạn sẽ tin tưởng ai trong một cuộc khủng hoảng.