Cine stă între tine și atacatorul de ransomware? Trei cazuri din aceeași săptămână, cu trei niveluri diferite de certitudine

• Potrivit BleepingComputer, care citează Procuratura din Districtul de Est al New Yorkului, patronul unei firme din Florida care promova recuperarea datelor criptate fără plata atacatorilor a fost pus sub acuzare. Un mare juriu federal l-a inculpat pe 23 septembrie. A pledat nevinovat și a fost eliberat pe cauțiune de 2 milioane de dolari.
• Acuzarea susține că firma nu avea tehnologie proprie de decriptare. Ar fi contactat operatorii ransomware, ar fi plătit pentru chei, ar fi folosit cheile pentru a restaura fișierele și ar fi prezentat rezultatul drept metodă proprie. Unele contracte spuneau că firma poate contacta atacatorii doar ca ultimă soluție, dar acuzarea susține că era, de regulă, primul pas.
• Potrivit acuzării, firma ar fi folosit fișiere-eșantion decriptate drept „dovezi de recuperare” ca să convingă victimele.
• Cifre din acuzare: într-un caz, aproximativ 8.200 de dolari plătiți atacatorilor și aproximativ 150.000 facturați clientului; în altul, circa 236.000 plătiți și circa 380.000 facturați. În total, peste 8 milioane de dolari în plăți de răscumpărare facilitate și peste 19 milioane facturate, pentru sute de companii din SUA și Canada, între iunie 2018 și iunie 2023, potrivit BleepingComputer. Diferența de aproximativ 11 milioane este un calcul din aceste cifre, la care ajunge și titlul SecurityWeek.
• Capete de acuzare: conspirație pentru fraudă electronică și două capete de fraudă electronică, cu pedeapsă de până la 20 de ani în caz de condamnare. Reprezentanții Departamentului de Justiție, citați de SecurityWeek, spun că persoana ar fi victimizat din nou victimele, potrivit acuzării.
• Tot ce precede este acuzare, nu hotărâre. Avocații inculpatului nu răspunseseră la momentul publicării. Nu se știe dacă firma mai funcționează sau dacă alți participanți au fost inculpați.

KrebsOnSecurity relatează, pe baza unor surse și a unui dosar de instanță indexat public, că FBI a arestat pe 8 octombrie, în Pennsylvania, un cofondator canadian al unei firme de securitate care făcea negocieri cu atacatori de ransomware. Arestul ar fi legat de ancheta privind grupul ShinyHunters, despre care am scris pe 24 septembrie și pe 30 septembrie. Potrivit dosarului, acuzațiile sunt de conspirație pentru amenințare cu afectarea confidențialității informațiilor în scopul obținerii de bani. Plângerea este sigilată, iar cazul ar fi fost mutat într-un alt district.

FBI a refuzat să comenteze, iar declarația directorului FBI nu a numit persoana. Presa citată nu a numit-o nici ea. Sursele lui Krebs spun că ar putea urma acuzații împotriva altor persoane din firme de negociere. Este o afirmație a surselor, nu un fapt confirmat.

Nu putem trage din asta nicio concluzie despre firma persoanei, despre alte firme de negociere sau despre industrie. Nu știm ce clienți a avut persoana și dacă ei au legătură cu ancheta.

• Poliția Națională a Japoniei a confirmat arestarea și extrădarea unui cetățean rus suspectat că are un rol de conducere în grupul Qilin. Germania a emis mandatul, iar autoritățile germane nu au comentat în sursele citate.
• Datele diferă. The Record, citând Nippon.com, spune că persoana a fost arestată într-un hotel din Osaka în mai și trimisă în Germania în iunie. BleepingComputer scrie că extrădarea a avut loc „la începutul lunii” octombrie. Nu putem reconcilia cele două relatări.
• Mandatul se leagă de un atac ransomware asupra unei companii germane, nenumită. Nu se știe dacă persoana este legată de alte atacuri atribuite Qilin.
• Context din aceleași surse: BleepingComputer spune că Qilin a vizat peste 2.350 de organizații din 62 de țări și a listat peste 450 de victime pe site-ul de scurgeri din iunie. The Record notează că grupul a fost al doilea cel mai activ în iulie, cu 127 de atacuri raportate.

În ziua în care ai un incident, ai puține ore și multe decizii: cine vorbește cu atacatorul, cine plătește, cine restaurează datele și cine spune conducerii ce s-a întâmplat. De obicei, răspunsul este un furnizor extern pe care nu l-ai ales cu grijă, pentru că nu aveai timp.

Primul caz arată, dacă acuzațiile se confirmă, ce se poate întâmpla când acel furnizor își descrie greșit metoda: tu crezi că ai plătit pentru decriptare, iar de fapt ai plătit un intermediar pentru ca atacatorul să decripteze. Al doilea arată că relația dintre intermediar și atacator este de interes pentru anchetatori. Al treilea arată că arestările de la vârful grupurilor nu opresc volumul: Qilin a rămas, potrivit surselor, printre cele mai active grupuri.

• Cum recuperați datele? Ce parte este metodă proprie, ce parte este cheie primită de la atacator și ce parte este restaurare din copii?
• Contactați atacatorii? Când și numai cu aprobarea mea scrisă? Contractul spune clar că niciun contact și nicio plată nu se fac fără decizia mea.
• Cum arată factura? Plata către atacator, dacă există, trebuie separată de onorariul firmei, cu dovadă a sumei plătite. Un tarif unic care amestecă ambele este un semnal.
• Cum verific o „dovadă de decriptare”? Un fișier-eșantion decriptat nu spune cine și cum l-a decriptat. Cere explicația metodei, de la persoana care o poate susține.
• Cine face verificările de sancțiuni și de conformitate înainte de orice plată, și cine este juristul implicat? Aceasta este o practică generală, nu o cerință citată din surse.
• Cine sunt clienții de referință care pot confirma, și există o relație cu asigurătorul meu? Unele polițe pot cere un furnizor din lista asigurătorului.
• Ce se întâmplă cu datele mele în timpul recuperării: unde sunt copiate, cine are acces, cât timp se păstrează?
• Cine decide, la mine, că plătim sau nu? Stabilește politica înainte: nimeni nu ar trebui să decidă singur și sub presiune.

• Un contract de intervenție semnat în prealabil, cu furnizorul ales în liniște, este mai bun decât unul căutat în noaptea incidentului.
• Copiile de siguranță izolate și testate reduc dependența de oricine îți promite o decriptare.
• Raportarea: pentru entitățile esențiale și importante, NIS2 cere avertizarea timpurie în 24 de ore și raportul inițial în 72 de ore, de la momentul în care ai luat cunoștință. În România, directiva a fost transpusă prin OUG 155/2024, aprobată prin Legea 124/2025, cu DNSC drept autoritate. Nu aștepta ca furnizorul să te informeze despre ce a făcut cu atacatorul.
• Un furnizor care pretinde că „are instrument propriu pentru orice ransomware” merită întrebat concret pentru care variantă și cum a fost testat.

Nu confunda acuzarea cu hotărârea, o raportare din surse cu o declarație oficială și un context cu o legătură. Cazul 1 este un act de acuzare publicat de autorități. Cazul 2 este o relatare a presei cu surse și un dosar de instanță parțial vizibil. Cazul 3 este o confirmare a poliției japoneze și o tăcere a celei germane.

Awarely Learning poate transforma întrebările de mai sus într-un exercițiu pentru conducere, achiziții și juridic: se ridică un incident la ora 2 noaptea, iar un furnizor îți propune plata unei „soluții de recuperare”. Cine decide, ce întrebi și ce ceri în scris? Deciziile rămân ale organizației, iar articolul nu este consultanță juridică.