Việc bắt giữ một chuyên gia đàm phán ransomware nổi tiếng, được Dark Reading đưa tin, đã đặt ra một câu hỏi khó chịu cho bất kỳ tổ chức nào từng phải lên kế hoạch ứng phó sự cố: điều gì sẽ xảy ra khi người bạn thuê để đối phó với kẻ tấn công lại đang làm việc cho phía bên kia? Vụ việc là lời nhắc nhở sắc bén rằng việc thẩm định mối đe dọa nội bộ đối với chuyên gia đàm phán ransomware cần nằm trong mọi kế hoạch ứng phó sự cố, chứ không chỉ là các biện pháp kiểm soát kỹ thuật xung quanh nó.
Bài viết gốc đặt bài học này trong bối cảnh cần tăng cường giám sát các chương trình nhà cung cấp. Bài viết này xem xét cách thức đàm phán diễn ra, vụ bắt giữ tiết lộ điều gì, và các doanh nghiệp nhỏ cùng người dùng quan tâm đến quyền riêng tư có thể làm gì về vấn đề này.
Cách thức tống tiền và đàm phán ransomware thực sự diễn ra
Khi một công ty bị tấn công ransomware, một trong những cuộc gọi đầu tiên thường là đến một chuyên gia đàm phán chuyên nghiệp. Công việc của họ là liên lạc với kẻ tấn công, đánh giá tình hình và cố gắng giảm thiểu thiệt hại. Họ đóng vai trò làm lá chắn giữa những nạn nhân đang hoảng loạn và những tội phạm có thể đang đòi tiền chuộc để khôi phục hệ thống hoặc giữ kín dữ liệu bị đánh cắp.
Sự sắp đặt đó chỉ hiệu quả nếu nạn nhân hoàn toàn tin tưởng người trung gian. Chuyên gia đàm phán nhìn thấy yêu cầu tiền chuộc, biết được dữ liệu nào bị lấy đi, và thường hiểu rõ nạn nhân có thể chi trả bao nhiêu cũng như mức độ khẩn cấp cần khôi phục hệ thống. Nạn nhân thường có rất ít khả năng tự kiểm chứng bất kỳ điều gì trong số đó. Họ đang trong khủng hoảng, thiếu thời gian và phụ thuộc vào chuyên môn của chuyên gia đàm phán.
Việc tống tiền cũng ngày càng khó quản lý hơn. Một cuộc khảo sát toàn cầu được The Register đưa tin cho thấy 37% các cuộc tấn công ransomware hiện bao gồm các mối đe dọa cá nhân, dù là tâm lý hay thể chất. Khi áp lực lên nạn nhân tăng lên, sự phụ thuộc của họ vào những người dẫn dắt cũng tăng theo.
Vụ bắt giữ chuyên gia đàm phán tiết lộ gì về rủi ro nội bộ
Hầu hết các kế hoạch bảo mật tập trung vào kẻ tấn công bên ngoài và ở mức độ thấp hơn là vào nhân viên. Các nhà cung cấp bên thứ ba thường được mặc định coi là đáng tin cậy, đặc biệt là các chuyên gia được đưa vào trong tình huống khẩn cấp. Vụ bắt giữ cho thấy điểm yếu trong giả định đó. Một người trung gian có quyền truy cập vào các cuộc đàm phán nhạy cảm nắm giữ vị thế có đòn bẩy to lớn, và nếu lợi ích của người đó khác biệt với lợi ích của khách hàng, khách hàng có thể sẽ không bao giờ biết.
Đây không phải là mối lo thuần túy giả thuyết. Bài viết liên quan trên vpn.social trình bày chi tiết cách một cựu chuyên gia đàm phán của DigitalMint nhận án 70 tháng tù cho một thương vụ BlackCat, và một báo cáo riêng đề cập cách chuyên gia đàm phán Martino bị kết án 70 tháng tù vì có liên hệ với BlackCat. Những bài viết đó trình bày chi tiết cụ thể của vụ việc, và chúng nhấn mạnh quan điểm rộng hơn: mối quan hệ với chuyên gia đàm phán phụ thuộc vào sự tin tưởng hiếm khi được kiểm toán.
Bài học từ báo cáo của Dark Reading không phải là tất cả các chuyên gia đàm phán đều đáng ngờ. Mà là một nhà cung cấp có mức độ truy cập lớn như vậy xứng đáng được giám sát giống như bất kỳ người nội bộ có rủi ro cao nào khác.
Nạn nhân và dữ liệu của họ bị phơi bày điều gì khi nhà cung cấp bị xâm phạm
Nếu một chuyên gia đàm phán hoặc nhà cung cấp ứng phó khác bị xâm phạm, hoặc đang hành động chống lại khách hàng, mức độ phơi bày có thể vượt xa cả khoản tiền chuộc. Dựa trên vai trò của chuyên gia đàm phán, các lĩnh vực cần quan tâm bao gồm:
- Chiến lược đàm phán: ngân sách, thời hạn và mức độ sẵn sàng chi trả của nạn nhân đều hiển thị với người trung gian.
- Chi tiết dữ liệu bị đánh cắp: chuyên gia đàm phán thường biết được những gì bị lấy đi, điều này quan trọng với bất kỳ ai có thông tin cá nhân nằm trong các tệp đó.
- Ra quyết định: lời khuyên về việc có nên trả tiền, trì hoãn hay phản đối đều định hình kết quả cho công ty và cho những người bị ảnh hưởng.
- Liên lạc: mọi tin nhắn đến và đi từ kẻ tấn công đều đi qua chuyên gia đàm phán.
Đối với cá nhân, rủi ro là gián tiếp nhưng có thật. Khách hàng, bệnh nhân và nhân viên có dữ liệu nằm trong một tổ chức bị xâm phạm không có tiếng nói trong việc chọn nhà cung cấp nào, nhưng họ phải gánh chịu hậu quả nếu lựa chọn đó sai lầm.
Cách thẩm định nhà cung cấp ứng phó sự cố trước khi bạn cần đến họ
Thời điểm tốt nhất để đánh giá một chuyên gia đàm phán hoặc công ty ứng phó sự cố là trước khi xảy ra tấn công, khi bạn có thể đặt câu hỏi một cách bình tĩnh. Bài viết gốc kêu gọi tăng cường giám sát chương trình nhà cung cấp, và những bước này là cách thực hành thiết thực để áp dụng ý tưởng đó. Chúng là thông lệ tốt chung chứ không phải yêu cầu rút ra từ vụ việc.
- Chọn nhà cung cấp trước. Lựa chọn một công ty dưới áp lực không để lại chỗ cho việc thẩm định. Hãy xây dựng một danh sách rút gọn đã được thẩm định như một phần của kế hoạch ứng phó sự cố.
- Hỏi về các kiểm soát nội bộ. Công ty thẩm định nhân viên của chính họ như thế nào? Ai có thể truy cập vào các cuộc đàm phán với khách hàng, và quyền truy cập đó có được ghi nhật ký và xem xét không?
- Ghi rõ kỳ vọng bằng văn bản. Hợp đồng nên bao gồm bảo mật, xung đột lợi ích và tiết lộ bất kỳ mối quan hệ nào với các tác nhân đe dọa hoặc các bên khác.
- Duy trì con mắt thứ hai đối với các quyết định. Đảm bảo lãnh đạo, cố vấn pháp lý hoặc công ty bảo hiểm của bạn xem xét các lựa chọn quan trọng thay vì để cho một người quyết định.
- Hạn chế chia sẻ dữ liệu. Chỉ cung cấp cho nhà cung cấp những gì họ cần, và lưu giữ hồ sơ về những gì họ đã nhận.
- Xem xét mối quan hệ thường xuyên. Coi nhà cung cấp ứng phó như một phần trong chương trình quản lý rủi ro bên thứ ba của bạn, với các kiểm tra định kỳ thay vì phê duyệt một lần.
Điều này có ý nghĩa gì với bạn
Nếu bạn điều hành một doanh nghiệp nhỏ, bạn có thể không có đội ngũ bảo mật chuyên trách, điều này khiến niềm tin vào nhà cung cấp càng quan trọng hơn. Hãy hỏi công ty bảo hiểm mạng hoặc nhà cung cấp dịch vụ IT của bạn xem họ làm việc với những công ty ứng phó nào, và tìm hiểu cách các công ty đó được giám sát. Một vài câu hỏi đặt ra bây giờ tốn kém ít hơn nhiều so với một quyết định tồi tệ được đưa ra giữa cơn khủng hoảng.
Nếu bạn là cá nhân, bước thực tế là hạn chế những gì các tổ chức nắm giữ về bạn. Chỉ chia sẻ dữ liệu mà một dịch vụ thực sự cần, sử dụng mật khẩu duy nhất và xác thực đa yếu tố, và theo dõi các thông báo vi phạm dữ liệu để có thể hành động nhanh chóng nếu thông tin của bạn bị phơi bày. Bạn không thể thẩm định nhà cung cấp ứng phó sự cố của một công ty, nhưng bạn có thể giảm thiểu thiệt hại nếu có sự cố xảy ra.
Những điểm chính cần ghi nhớ
Việc bắt giữ một chuyên gia đàm phán ransomware nổi tiếng là lời nhắc nhở rằng người trung gian có thể là rủi ro nội bộ, và việc thẩm định mối đe dọa nội bộ đối với chuyên gia đàm phán ransomware nên được đặt cùng với sao lưu và vá lỗi trong kế hoạch chuẩn bị của bạn. Hãy chọn nhà cung cấp trước khi xảy ra khủng hoảng, đặt những câu hỏi khó về các kiểm soát của họ, và duy trì giám sát độc lập đối với các quyết định quan trọng.
Để biết chi tiết cụ thể của vụ việc, hãy đọc bài viết của chúng tôi về cựu chuyên gia đàm phán DigitalMint bị kết án. Để thấy tại sao niềm tin vào nhà cung cấp càng quan trọng hơn khi nạn tống tiền leo thang, hãy xem khảo sát về các mối đe dọa cá nhân trong tấn công ransomware.
