Cựu Đàm phán viên DigitalMint Lãnh 70 Tháng Tù vì Thỏa Thuận với BlackCat

Một Người Trong Nội Bộ Đáng Tin Cậy Quay Lưng Chống Lại Chính Khách Hàng Của Mình

Khi một công ty bị tấn công ransomware, họ thường gọi đến một nhà đàm phán, người có nhiệm vụ liên lạc với kẻ tấn công, đánh giá tình hình và cố gắng giảm thiểu thiệt hại. Mối quan hệ đó hoàn toàn dựa trên lòng tin. Một cựu đàm phán viên tại công ty ứng phó sự cố DigitalMint vừa cho thấy điều gì xảy ra khi lòng tin đó bị phản bội.

Angelo Martino, 41 tuổi, đã bị kết án 70 tháng tù liên bang vì câu kết với nhóm ransomware BlackCat (còn gọi là ALPHV) trong khi đang làm đàm phán viên được cho là đại diện cho lợi ích của nạn nhân. Thay vì chỉ bảo vệ khách hàng, Martino đã lợi dụng vị trí của mình để chuyển thông tin cho chính những kẻ tội phạm mà khách hàng của ông đang cố gắng chống lại, theo báo cáo từ Help Net Security. Vụ việc, được trình bày chi tiết hơn trong bài đưa tin trước đây của chúng tôi về bản án 70 tháng tù của nhà đàm phán DigitalMint, làm nổi bật một mối đe dọa mà hầu hết nạn nhân ransomware không bao giờ nghĩ đến: chính người được thuê để bảo vệ họ.

Tại Sao Các Nhà Đàm Phán Ransomware Nắm Giữ Nhiều Dữ Liệu Nhạy Cảm Như Vậy

Các nhà đàm phán ransomware chiếm một vị trí đặc quyền duy nhất. Để làm tốt công việc, họ thường cần truy cập vào những chi tiết mà hầu hết nhân viên trong tổ chức nạn nhân không bao giờ thấy: phạm vi vi phạm, dữ liệu nào đã bị đánh cắp, công ty có mức bảo hiểm an ninh mạng bao nhiêu, và công ty thực tế sẵn sàng hoặc có khả năng trả bao nhiêu. Thông tin đó là vàng đối với kẻ tấn công. Ví dụ, biết giới hạn bảo hiểm của nạn nhân cho phép nhóm ransomware điều chỉnh yêu cầu tiền chuộc để ép ra mức thanh toán tối đa có thể.

Đây chính là điều khiến vụ Martino trở nên đáng chú ý từ góc độ quyền riêng tư. Đó không phải là một hacker bên ngoài đột nhập vào hệ thống của công ty. Đó là một người trong nội bộ, người được đưa vào chính vì quyền truy cập nhạy cảm mà vai trò của anh ta yêu cầu, bị cáo buộc đã sử dụng quyền truy cập đó để chống lại những người đã thuê anh ta. Các công ty ứng phó sự cố và đàm phán tồn tại vì hầu hết các tổ chức không có kỹ năng chuyên môn cần thiết để tự xử lý khủng hoảng ransomware. Sự phụ thuộc vào các chuyên gia bên ngoài là hợp lý và thường cần thiết, nhưng nó cũng có nghĩa là nạn nhân đang trao lòng tin cho một bên thứ ba với khả năng tối thiểu để xác minh một cách độc lập rằng lòng tin đó là xứng đáng.

Hệ sinh thái ransomware rộng lớn hơn vốn đã buộc nạn nhân phải thực hiện những đánh đổi khó khăn về quyền riêng tư. Trả tiền chuộc không đảm bảo dữ liệu bị đánh cắp sẽ bị xóa, và đàm phán một cách thiện chí giả định rằng phía bên kia, và tất cả những người tư vấn cho bạn, cũng hành động thiện chí. Một vụ việc như thế này phá hoại giả định đó theo cách có thể khiến nạn nhân do dự hơn trong việc tiết lộ đầy đủ thông tin cho chính những chuyên gia được cho là để giúp đỡ họ, có khả năng làm chậm quá trình ứng phó sự cố vào thời điểm quan trọng nhất.

Điều Này Có Ý Nghĩa Gì Với Bạn

Hầu hết độc giả sẽ không bao giờ đích thân thuê một nhà đàm phán ransomware, nhưng bài học cốt lõi vẫn áp dụng rộng rãi: các nhà cung cấp bên thứ ba có quyền truy cập vào dữ liệu nhạy cảm của bạn chỉ đáng tin cậy như mắt xích yếu nhất bên trong tổ chức của nhà cung cấp đó. Cho dù đó là một công ty luật, nhà thầu ứng phó sự cố, nhà cung cấp đám mây hay bất kỳ công ty nào xử lý thông tin cá nhân hoặc tài chính của bạn, tính bảo mật của mối quan hệ đó phụ thuộc vào các biện pháp kiểm soát nội bộ mà bạn không thể thấy từ bên ngoài.

Đối với các doanh nghiệp, vụ việc này là một lời nhắc nhở phải đặt những câu hỏi khó trước và trong khi xảy ra sự cố ransomware. Ai tại công ty đàm phán có quyền truy cập vào chi tiết bảo hiểm và thẩm quyền thanh toán? Có các biện pháp kiểm soát nội bộ nào ngăn một nhân viên duy nhất liên lạc trực tiếp với các tác nhân đe dọa mà không có sự giám sát không? Các cuộc trao đổi có được ghi lại và xem xét không? Đây không phải là những câu hỏi mà hầu hết các công ty nghĩ đến khi đang trong khủng hoảng, nhưng chúng nên là một phần của quy trình thẩm định trước khi vi phạm xảy ra, chứ không phải sau đó.

Đối với cá nhân, bài học rút ra gián tiếp hơn nhưng vẫn phù hợp. Khi một công ty mà bạn giao dịch bị tấn công ransomware, việc xử lý sự cố đó, bao gồm cả ai có quyền truy cập vào dữ liệu bị xâm phạm của bạn trong quá trình đàm phán, phần lớn nằm ngoài tầm kiểm soát của bạn. Đó là một lý do nữa để ngay từ đầu giảm thiểu lượng dữ liệu cá nhân nhạy cảm bạn chia sẻ với bất kỳ tổ chức đơn lẻ nào, và sử dụng các công cụ như trình quản lý mật khẩu và xác thực đa yếu tố để một vi phạm duy nhất không thể lan rộng thành xâm phạm tài khoản rộng hơn.

Những Điểm Chính Để Đón Đầu Rủi Ro Nội Gián

Bản án này gửi một tín hiệu rõ ràng rằng sự phản bội của người trong nội bộ trong quá trình ứng phó ransomware mang lại hậu quả pháp lý nghiêm trọng, nhưng phòng ngừa quan trọng hơn trừng phạt sau khi sự việc xảy ra. Nếu tổ chức của bạn làm việc với các công ty ứng phó sự cố hoặc đàm phán, hãy yêu cầu các biện pháp kiểm soát truy cập được ghi chép, giám sát độc lập các cuộc đàm phán và trách nhiệm giải trình theo hợp đồng rõ ràng. Nếu bạn là một cá nhân bị ảnh hưởng bởi vi phạm tại một công ty bạn tin tưởng, hãy coi trọng các thông báo, thay đổi mật khẩu đã sử dụng lại và theo dõi các tài khoản liên quan đến tổ chức đó.

Vụ Martino có thể sẽ được trích dẫn trong nhiều năm như một ví dụ cảnh báo trong lĩnh vực đàm phán ransomware. Đối với tất cả những người khác, đó là một lời nhắc nhở hữu ích rằng lòng tin trong khủng hoảng cần phải được xây dựng và xác minh, chứ không thể mặc nhiên thừa nhận.