Một nhà đàm phán đáng tin cậy lại làm việc cho kẻ tấn công
Khi một công ty bị tấn công ransomware, một trong những cuộc gọi đầu tiên thường là tới một nhà đàm phán chuyên nghiệp, người được thuê để thương lượng giảm tiền chuộc, câu giờ, và làm vùng đệm giữa các lãnh đạo đang hoảng loạn và các hacker tội phạm. Hệ thống đó hoàn toàn dựa trên lòng tin. Một bản án liên bang gần đây cho thấy điều gì xảy ra khi lòng tin ấy bị phá vỡ từ bên trong.
Một nhà đàm phán ransomware đã bị kết án 70 tháng tù liên bang sau khi các công tố viên phát hiện anh ta đã bí mật cấu kết với nhóm ransomware BlackCat (còn gọi là ALPHV) trong khi tuyên bố đại diện cho nạn nhân. Thay vì bảo vệ các công ty thuê mình, anh ta bị cáo buộc đã cung cấp cho kẻ tấn công những chi tiết nhạy cảm, bao gồm thông tin về phạm vi bảo hiểm và giới hạn thanh toán của khách hàng, giúp bọn tội phạm có lợi thế để đòi thêm tiền và gây áp lực hiệu quả hơn. Như một phần của bản án, anh ta còn bị tịch thu tiền mã hóa liên quan đến phi vụ này.
Vụ án xác định ít nhất năm tổ chức nạn nhân, bao gồm một công ty thiết bị y tế tại Florida ban đầu bị đòi 10 triệu đô la tiền chuộc trước khi thực tế trả khoảng 1,2 triệu đô la, một công ty dược phẩm tại Maryland, và một phòng khám bác sĩ. Toàn bộ quy mô của phi vụ được cho là còn liên quan đến xung đột nội bộ giữa các băng nhóm ransomware đối địch, khi một nhóm đe dọa phanh phui hoạt động của nhóm kia – lời nhắc nhở rằng ngay cả các hệ sinh thái tội phạm cũng không tránh khỏi xung đột và phản bội nội bộ.
Cách thức phi vụ làm suy yếu nạn nhân
Nhà đàm phán ransomware chiếm giữ một vị trí cực kỳ nhạy cảm. Để làm nhiệm vụ, họ thường cần truy cập vào những thông tin mà hầu hết các công ty không bao giờ trao cho người ngoài: có sẵn bao nhiêu tiền mặt, hợp đồng bảo hiểm mạng thực sự chi trả những gì, các thời hạn nội bộ, và mức độ liều lĩnh của ban lãnh đạo để giải quyết tình hình một cách lặng lẽ. Những thông tin ấy lẽ ra phải được giữ bí mật và chỉ dùng để bảo vệ quyền lợi của khách hàng trong quá trình thương lượng.
Khi một nhà đàm phán thay vào đó chuyển thông tin ấy cho kẻ tấn công, toàn bộ quy trình ứng phó sự cố bị phá hoại ngay từ trước khi nó bắt đầu. Nạn nhân tin rằng mình đang thương lượng từ vị thế có chiến lược được hiểu biết, trong khi thực tế phía bên kia đã biết rõ trần tài chính của họ. Sự mất cân bằng ấy có thể lý giải tại sao các yêu cầu tiền chuộc trong những vụ này lại leo thang mạnh như vậy, và tại sao số tiền đòi ban đầu từ công ty thiết bị y tế lại cao gấp tám lần số cuối cùng họ phải trả.
Đây không phải là sự cố cá biệt. Như chúng tôi đã đưa tin trong bài viết về một nhà đàm phán ransomware tại Florida bị kết án trong một vụ tống tiền khác của Mỹ, cơ quan thực thi pháp luật hiện đã xác định được nhiều nhà đàm phán có liên hệ với cùng một mạng lưới tống tiền liên quan đến BlackCat. Kiểu mẫu này cho thấy đây không phải là sự phản bội đơn lẻ mà là một nỗ lực có chủ đích, ít nhất được tổ chức một phần, nhằm khai thác ngành ứng phó sự cố từ bên trong.
Hệ lụy về quyền riêng tư đối với nạn nhân vi phạm dữ liệu
Hệ quả về quyền riêng tư ở đây còn vượt xa số tiền chuộc. Các công ty thiết bị y tế, dược phẩm và phòng khám thường nắm giữ dữ liệu nhạy cảm của bệnh nhân và sức khỏe. Khi một nhà đàm phán bí mật làm việc chống lại quyền lợi của nạn nhân, điều này đặt ra những câu hỏi thực sự về những thông tin nhạy cảm nào khác có thể đã bị lộ, bị xử lý sai, hoặc bị sử dụng như một đòn bẩy bổ sung trong quá trình tống tiền. Các công ty hoạt động trong lĩnh vực y tế và các ngành được quản lý vốn đã phải bảo vệ dữ liệu bệnh nhân theo các nghĩa vụ nghiêm ngặt về quyền riêng tư, và một sự phản bội từ bên trong trong lúc xảy ra sự cố ransomware sẽ làm phức tạp mọi quyết định tiếp theo, bao gồm việc có nên thông báo cho các cá nhân bị ảnh hưởng hay không và thông báo như thế nào.
Nó cũng làm nổi bật một điểm mù mà nhiều tổ chức không nghĩ đến cho đến khi quá muộn: các nhà cung cấp dịch vụ ứng phó sự cố, bao gồm nhà đàm phán, công ty điều tra số, và ngay cả luật sư được mời vào khi xảy ra vi phạm, hiếm khi được thẩm tra với mức độ kỹ lưỡng như áp dụng cho các rủi ro bên thứ ba khác. Một công ty có thể thẩm định kỹ lưỡng một nhà cung cấp đám mây hay hãng phần mềm, nhưng lại mời một nhà đàm phán lúc khủng hoảng chủ yếu dựa trên danh tiếng hoặc sự cấp bách.
Điều này có ý nghĩa gì với bạn
Nếu tổ chức của bạn từng cần thuê một nhà đàm phán ransomware hoặc công ty ứng phó sự cố, vụ việc này là lý do để chậm lại, không nên hoảng sợ. Xác minh độc lập các chứng chỉ thay vì chỉ dựa vào giới thiệu từ công ty bảo hiểm hay một đầu mối liên hệ duy nhất. Hãy đặt các câu hỏi trực tiếp về cách thông tin khách hàng được xử lý, lưu trữ và chia sẻ, đồng thời yêu cầu các ranh giới được lập thành văn bản về những gì nhà đàm phán được và không được tiết lộ. Nếu hợp đồng bảo hiểm mạng của bạn quy định một danh sách nhà cung cấp cụ thể, hãy xem xét danh sách đó một cách chủ động, trước khi một cuộc tấn công xảy ra, thay vì cuống cuồng xoay xở trong lúc sự cố đang diễn ra – khi mà lợi thế và phán đoán đều đã bị tổn hại.
Đối với cá nhân, thông điệp rút ra đơn giản hơn nhưng vẫn quan trọng: nếu bạn nhận được thông báo rằng một nhà cung cấp dịch vụ y tế, hiệu thuốc, hoặc công ty thiết bị y tế mà bạn đã từng tương tác gặp sự cố ransomware, hãy coi trọng thông báo đó ngay cả khi công ty nói rằng mức độ lộ dữ liệu là hạn chế. Những vụ việc như thế này cho thấy cách xử lý nội bộ khi xảy ra vi phạm có thể phức tạp hơn nhiều so với những tuyên bố công khai.
Điểm cốt lõi cần ghi nhớ
Bản án này là một ví dụ hiếm hoi, cụ thể về cách vai trò của nhà đàm phán ransomware – vốn được xây dựng hoàn toàn trên tính bảo mật và lòng tin – lại có thể bị vũ khí hóa chống lại chính các tổ chức mà nó được dựng ra để bảo vệ. Hãy thẩm tra các nhà cung cấp ứng phó sự cố trước khi khủng hoảng ập đến, xây dựng các ranh giới chia sẻ thông tin rõ ràng vào mọi hợp đồng, và ghi nhớ rằng lợi thế của một nhà đàm phán ransomware phụ thuộc vào việc bí mật được giữ bí mật – về phía bạn, chứ không phải của kẻ tấn công.
