据报道，联邦调查人员已确认两家独立网络事件谈判公司的高管与ShinyHunters勒索团伙保持着异常密切的关系。据Security Arsenal summarized的KrebsOnSecurity报道，一名美国高管据称更进一步，协助运营了用于迫使受害者付款的网站。ShinyHunters勒索谈判代表勒索网站的指控目前仍只是指控，但对于任何数据存放在可能某天遭到入侵的公司的人来说，这提出了一个严峻的问题：谈判桌对面真正坐着的是谁？
调查人员就谈判代表与ShinyHunters指控了什么
报道称，联邦调查人员利用联邦调查局的数据，确认了两家谈判公司的高管与ShinyHunters有密切接触。其中一名美国高管被指控协助运营该团伙用来迫使受害者支付赎金的网站。
有几点值得注意。现有摘要并未列出指控，相关说法来自对调查人员怀疑内容的报道。在我们审阅的材料中，这些高管及其公司均未被点名，因此我们不会推测其身份。请将此视为仍在发展中的事件，并预计随着更多信息得到确认，细节会发生变化。
勒索谈判与勒索网站如何运作
当公司遭遇数据窃取或勒索软件攻击时，通常会聘请外部公司处理与攻击者的沟通。这些谈判代表通常核实被盗内容，尝试降低要求，并在公司决定付款时安排支付。由于他们直接与犯罪分子交谈，因此掌握敏感信息：受害者能负担多少、哪些数据被拿走，以及公司的截止期限有多紧迫。
勒索网站则是另一边的施压工具。像ShinyHunters这样的团伙利用网站点名受害者、威胁公开被盗数据，并推动公司达成交易。该网站是销售说辞的一部分：威胁越可信、越可怕，受害者就越可能付款。
这就是该指控重要的原因。如果一名谈判代表还协助运营施压网站，那么从理论上说，同一个人可能既是受害者信任的顾问，又是威胁的参与者。这是典型的利益冲突，而受害者可能并不知情。
事件响应中的利益冲突为何重要
事件响应依赖信任。遭到入侵的公司会将日志、网络细节和敏感业务信息交给帮助其恢复的人员。如果这些顾问中任何人与攻击者有联系，可能会出多种问题：
- 谈判筹码可能泄露。 了解受害者的预算或截止期限，有助于勒索者定价。
- 建议可能被扭曲。 存在利益冲突的顾问可能推动公司付款，而不是通过其他方式恢复。
- 数据处理变得不确定。 付款本应换取删除被盗数据，但与其他近期勒索案件一样，无法确定数据是否真的被删除。
对于记录位于被入侵公司内部的客户、患者、学生或员工来说，这超出了他们的掌控。你不会选择谈判代表，也很少会知道那个人是谁。在整个行业层面，这是要求更清晰的审查和利益冲突披露，以及要求监管机构和保险公司审视这些公司如何被筛查的理由。
这对你意味着什么
你无法审计供应商的事件响应合作伙伴。你能做的是，如果你的数据落入不法之徒手中，无论由谁处理谈判，都尽量限制损害。要假定付款并不保证你的信息已被销毁，被盗细节可能会在后续诈骗中被重复利用。勒索团伙和模仿者也会利用入侵新闻：例如，一封假的ShinyHunters性勒索电子邮件据报道使用了真实的入侵细节，让威胁看起来可信。
如果你使用的公司遭到入侵该怎么办
当入侵通知到来时，应据此采取行动，而不是等待事件尘埃落定：
- 更改重复使用的密码。 先从被入侵的服务开始，然后处理任何使用相同密码的其他账户。为每个账户使用唯一密码，最好存储在密码管理器中。
- 开启多因素认证。 尽可能优先使用身份验证器应用或硬件密钥，而不是短信。
- 警惕网络钓鱼和勒索电子邮件。 对引用你真实细节并要求付款或紧急行动的消息保持怀疑。不要回复、点击链接或打开附件。应直接前往公司的官方网站。
- 核实通知本身。 通过你可以验证的渠道确认它确实来自该公司，因为攻击者会模仿入侵通知。
- 监控你的账户。 查看银行和信用卡账单，如果通知称财务或身份数据被泄露，可考虑冻结信用。
底线
勒索谈判代表与ShinyHunters勒索网站之间的涉嫌关联尚未成为定案，但它表明，入侵响应在很大程度上依赖于个人无法看到的信任。在事实完全确立之前，明智的做法是每次都同样保护自己：唯一密码、多因素认证，以及对任何利用你泄露数据来吓唬你的消息保持适度怀疑。在任何入侵通知之后做到这些，你就能降低攻击者或其中间人所掌握内容的价值。
