一起联邦案件正将勒索软件经济中一个令人不安的风险置于聚光灯下：你雇来帮助你的人，可能正是利用你的人。检方指控一名勒索软件“修复者”告诉客户他可以解密他们的文件，然后悄悄向攻击者付款并私吞差价。这种勒索软件恢复中间人欺诈让受害者遭受双重打击，首先是勒索本身，其次是通过那个被信任的帮助者。

检方指控“修复者”做了什么

根据报道，联邦当局声称这名男子向客户收取的费用高于勒索赎金的要求，向犯罪分子付款，并将差价收入囊中。换言之，所谓的宣传是技术救援，而所谓的真相是附带了隐藏费用的付款转手。

对该案的其他报道称，被告是勒索软件修复公司MonsterCloud的所有者，因涉嫌针对勒索软件受害者的欺诈计划而被控电信欺诈。这些是指控，罪名尚未得到证实。尽管如此，所描述的模式简单且值得了解：客户以为他们是在为解密专业知识付费，但根据检方的说法，这项工作在很大程度上只是代他们支付的赎金。

核心问题不在于第三方处理了付款。而在于，如指控所称，客户被告知了一件事，却被收取了另一件事的费用，真实安排对他们隐瞒。

为什么勒索软件受害者容易成为中间人的目标

勒索软件事件使组织承受巨大压力。系统瘫痪，员工无法工作，倒计时往往正在进行。在那一刻，一个自信的声音提供一条清晰的出路非常有吸引力，而很少有受害者有时间或专业知识去核实幕后真正发生了什么。

多个因素使这种情况容易被滥用：

  • 信息差： 大多数受害者无法判断是否存在“专有解密方法”，还是仅仅使用了攻击者自己的解密工具。
  • 不透明的付款： 加密货币转账和与犯罪分子的谈判在幕后进行，因此差价很难被发现。
  • 紧迫性和保密性： 受害者往往希望对此事件保持低调，这减少了对他们所雇帮助者的审查。
  • 缺乏明确标准： 恢复领域基本上不受监管，任何人都可以声称拥有专业知识。

这不是一个新问题。ProPublica此前的报道调查了声称提供合乎道德的勒索软件攻击解决方案的数据恢复公司。更近期的报道也描述了冒充恢复专家的骗子，包括一名 rogue affiliate，据称在攻击公开之前就联系了受害者。共同点是，绝望催生了中间人市场，而并非所有中间人都诚实。

执法部门也在追查更接近该生态系统犯罪一方的人。我们关于美国法院扣押与勒索软件内部人员有关的837万美元加密货币的报道显示了当局如何追踪资金以及帮助勒索行动成功的人。

在勒索事件中如何审查帮助者

如果你曾面临此类事件，一些检查可以降低再次被利用的几率。理想情况下，在一切出错之前就做好这些准备。

  1. 准确询问解密如何运作。 如果提供商声称拥有独特的技术方法，请以书面形式要求具体说明。含糊的回答是一个警告信号。
  2. 要求任何付款的透明度。 询问是否会支付赎金、支付给谁、金额多少，以及提供商的服务费是多少。坚持要求逐项列出费用，将赎金和服务费分开。
  3. 取得书面合同。 工作范围、费用以及谁处理付款应在你签署之前明确。
  4. 核实资质和推荐人。 独立核查该公司的历史，并对任何主动联系你的人保持警惕，尤其是在攻击尚未公开之前。
  5. 让你的保险公司、法律顾问和执法部门参与。 网络保险公司通常有经过审查的响应团队，外部各方增加了独立中间人无法提供的监督。
  6. 对紧迫性保持谨慎。 在几乎没有解释的情况下施压要求数小时内做出决定，是一种经典策略。

为什么备份、多因素认证和补丁优于付款

避免这整个问题的最好方法就是永远不需要修复者。拥有扎实基础的组织通常可以在不与犯罪分子谈判或不雇用任何承诺奇迹的人的情况下恢复系统。

  • 可靠、经过测试的备份： 将副本保存在离线或不可变的位置，并练习恢复它们。从未测试过的备份是希望，不是计划。
  • 多因素认证： 在电子邮件、远程访问和管理员账户上强制实施MFA，使被盗凭证的用处大大降低。
  • 及时打补丁： 迅速修复面向互联网的系统和VPN设备中的已知漏洞。
  • 事件响应计划： 提前决定你将联系谁、谁批准付款以及你将如何记录决策。

这对你意味着什么

对企业而言，要点是将任何恢复提供商视为需要审查的供应商，而不是可以盲目信任的救星。对个人而言，教训类似：对任何承诺付费解锁文件的人保持怀疑，尤其是如果他们主动联系你。还要记住，支付赎金永远不能保证你的数据会回来，任何中间人都会增加一个在结果中拥有经济利益的一方。

该案仍处于指控阶段，因此事实可能会进一步发展。但警告本身就成立：在危机中，要就谁在用你的钱做什么提出尖锐的问题。

可操作的要点

  • 现在就通过经过测试的备份、MFA和持续打补丁来加固你的防御。
  • 在你需要之前，制定一份事件响应计划，列出可信联系人。
  • 要求以书面形式逐项披露任何赎金支付和费用。
  • 对攻击后或攻击前主动提供的帮助保持警惕。
  • 尽早让保险公司、法律顾问和执法部门参与。

勒索软件恢复中间人欺诈在恐慌中滋生，而做好准备是最好的解药。要了解当局如何追查与勒索软件有关的内部人员和资金，请阅读我们关于与勒索软件内部人员有关的837万美元加密货币扣押的报道，然后在事件迫使你做出决定之前审查你自己的防御。