Nhà đàm phán DigitalMint lĩnh 70 tháng tù vì phản bội BlackCat

Một Người Trong Cuộc Đáng Tin Cậy Trở Thành Kẻ Đồng Lõa

Khi một công ty trở thành nạn nhân của ransomware, họ thường tìm đến một nhà đàm phán chuyên nghiệp để xử lý cuộc đối thoại căng thẳng, đầy rủi ro với kẻ tấn công. Đó chính xác là vai trò của Angelo Martino, 41 tuổi, tại DigitalMint, một công ty giúp các tổ chức xử lý sự cố ransomware và thương lượng thanh toán thay mặt họ. Martino được triệu tập trong các vụ xâm nhập đang diễn ra, ngồi ở phía bàn bảo vệ nạn nhân.

Thay vào đó, theo hồ sơ tòa án, Martino đã bí mật làm việc với các thành viên của nhóm ransomware BlackCat (còn được gọi là ALPHV), một trong những tổ chức tống tiền khét tiếng trong những năm gần đây. Thay vì bảo vệ lợi ích của khách hàng, anh ta bị cáo buộc đã tiết lộ thông tin mật từ bên trong các cuộc thương lượng mà lẽ ra anh ta phải thực hiện thay mặt nạn nhân. Hiểu biết nội bộ đó được cho là đã giúp băng nhóm moi được các khoản tiền lớn hơn, với các báo cáo cho thấy âm mưu này đã góp phần vào khoảng 75 triệu USD bị tống tiền từ các tổ chức nạn nhân qua nhiều vụ việc. Martino đã nhận tội và bị kết án 70 tháng tù liên bang.

Âm Mưu Này Đã Phá Hoại Hoạt Động Thương Lượng Ransomware Như Thế Nào

Hoạt động thương lượng ransomware tồn tại vì các công ty đối mặt với một cuộc tấn công thường thiếu chuyên môn chuyên sâu để giao tiếp với các nhóm tội phạm, đánh giá mức độ đáng tin cậy của các mối đe dọa, hoặc xác định liệu việc trả tiền chuộc có được khuyến khích hay không. Các công ty như DigitalMint được cho là sẽ hoạt động như một bức tường lửa, sử dụng kinh nghiệm của họ để giảm yêu cầu, xác minh khả năng khôi phục dữ liệu, và ngăn chặn nạn nhân bị lợi dụng hai lần.

Vụ án của Martino đã lật ngược mô hình đó. Bằng cách rò rỉ các chi tiết nhạy cảm từ các cuộc thương lượng đang diễn ra, bao gồm thông tin nội bộ của khách hàng, ngưỡng tài chính, và tình trạng đòn bẩy của nạn nhân, anh ta đã giao cho các thành viên BlackCat kịch bản mà họ cần để thúc đẩy các khoản tiền chuộc tối đa. Đó là một sự phản bội lòng tin sâu sắc, không chỉ giữa Martino và người chủ của mình, mà còn giữa người chủ đó và mọi khách hàng đã giả định rằng đội ứng phó khủng hoảng của họ chỉ đang làm việc cho riêng họ.

Dạng thông đồng nội gián này đặc biệt gây tổn hại vì các nạn nhân ransomware vốn đã ở trong tình thế dễ bị tổn thương. Họ thường chịu áp lực phải đưa ra quyết định nhanh chóng về dữ liệu nhạy cảm, thời gian ngừng hoạt động, và rủi ro pháp lý. Các vụ việc như Instructure đã trả tiền chuộc sau vụ xâm phạm Canvas cho thấy cách các tổ chức đôi khi kết luận rằng trả tiền là lựa chọn ít gây thiệt hại nhất. Khi nhà đàm phán xử lý quyết định đó có động cơ tài chính để làm việc chống lại nạn nhân, toàn bộ tính toán được sử dụng để biện minh cho khoản thanh toán trở nên bị tổn hại.

Tại Sao Vụ Án Này Dấy Lên Mối Quan Ngại Lớn Hơn Về Quyền Riêng Tư Cho Các Doanh Nghiệp

Hệ lụy về quyền riêng tư ở đây vượt xa những tổn thất tài chính trước mắt. Các cuộc thương lượng ransomware thường liên quan đến việc chia sẻ tài liệu cực kỳ nhạy cảm: phạm vi dữ liệu bị đánh cắp, đánh giá an ninh nội bộ, trao đổi của ban lãnh đạo, và chi tiết về những gì công ty sẵn sàng trả. Nạn nhân chia sẻ thông tin này với giả định rằng nó nằm trong vòng tròn kiểm soát chặt chẽ của những người ứng phó đáng tin cậy.

Hành động của Martino chứng tỏ rằng chính hệ sinh thái ứng phó sự cố có thể trở thành một điểm yếu. Ngay cả những tổ chức làm mọi thứ đúng đắn sau một vụ xâm phạm, thuê các công ty uy tín, tuân theo các quy trình được khuyến nghị, và hợp tác với cơ quan thực thi pháp luật, vẫn có thể bị dữ liệu và vị thế thương lượng của mình bị phá hoại từ bên trong. Điều này phản ánh các chiến thuật gây áp lực đã thấy trong các chiến dịch tống tiền nổi tiếng khác, chẳng hạn như các chiến thuật leo thang được sử dụng khi ShinyHunters phá hoại cổng thông tin trường học trong chiến dịch tống tiền Canvas, nơi kẻ tấn công dựa vào sự bẽ mặt công khai và đòn bẩy dữ liệu để buộc phải giải quyết.

Điều Này Có Ý Nghĩa Gì Với Bạn

Nếu tổ chức của bạn từng rơi vào tình huống phải thương lượng với một nhóm ransomware, vụ án này là lời nhắc nhở rằng quy trình lựa chọn nhà cung cấp đáng được xem xét kỹ lưỡng như các công cụ an ninh mạng của bạn. Hãy hỏi các công ty đàm phán tiềm năng về các biện pháp kiểm soát nội bộ, thẩm tra nhân viên, và cách dữ liệu khách hàng được phân đoạn và giám sát trong một vụ việc đang diễn ra. Yêu cầu làm rõ ai có quyền truy cập vào chi tiết thương lượng và liệu có cá nhân nào có thẩm quyền không bị kiểm soát đối với các liên lạc với kẻ tấn công hay không.

Đối với các cá nhân và doanh nghiệp nhỏ hơn không có nguồn lực để thẩm định nhà cung cấp sâu rộng, bài học rút ra là rộng hơn: hãy giảm thiểu dữ liệu nhạy cảm có thể bị lộ ngay từ đầu. Thực hành sao lưu mạnh mẽ, phân đoạn mạng, và giới hạn lượng dữ liệu cá nhân hoặc tài chính được lưu trữ trong các hệ thống dễ truy cập đều làm giảm đòn bẩy mà một nhóm ransomware, hoặc một kẻ nội gián bị tổn hại, có thể nắm giữ đối với bạn.

Các Điểm Chính Cần Ghi Nhớ

• Thẩm định các công ty ứng phó sự cố và đàm phán với sự nghiêm ngặt tương tự bạn áp dụng cho bất kỳ nhà cung cấp nào xử lý dữ liệu nhạy cảm.
• Hỏi cách các công ty đàm phán giám sát và kiểm toán nội bộ quyền truy cập của nhân viên trong các vụ ransomware đang diễn ra.
• Giảm khối lượng dữ liệu nhạy cảm được lưu trữ trong các hệ thống dễ bị xâm phạm, vì ít lộ dữ liệu hơn có nghĩa là ít đòn bẩy hơn cho kẻ tấn công hoặc kẻ nội gián.
• Xem thương lượng ransomware như một quyết định đòi hỏi sự giám sát riêng, không phải là một hộp đen được xử lý hoàn toàn bởi bên thứ ba.

Vụ án Martino là một ví dụ hiếm gặp nhưng nghiêm trọng về sự phản bội nội gián trong ngành ứng phó ransomware. Nó không có nghĩa là các công ty đàm phán không thể được tin tưởng rộng rãi, nhưng nó nhấn mạnh rằng lòng tin nên được xác minh, không phải mặc nhiên thừa nhận, đặc biệt là khi các chi tiết xâm phạm nhạy cảm nhất của một công ty đang bị đe dọa.