Insider hrozba u ransomwaru nemusí přijít jen zevnitř firmy. Případ vyjednavače odsouzeného za spolupráci s BlackCat ukazuje riziko u externích IR partnerů.
Ransomwarová krize má obvykle jasné role. Oběť, útočník a tým, který má pomoci škodu minimalizovat. Případ bývalého vyjednavače Angela Martina ukazuje, že insider hrozba u ransomwaru se netýká jen zaměstnanců napadené firmy, ale i najatých externích partnerů, a to způsobem, který se do běžných bezpečnostních doporučení téměř nedostává.
Vyjednávání s ransomware útočníky jako zneužitá role
Martino pracoval pro firmu poskytující incident response služby. Jeho úlohou bylo vyjednávat s útočníky jménem obětí, tedy znát jejich finanční limity, ochotu platit a celkovou vyjednávací strategii. Od dubna 2023 tyto informace předával operátorům ransomwaru BlackCat (známého také jako ALPHV nebo Noberus).
Útočníci díky tomu věděli, kolik si mohou dovolit požadovat, aniž by oběť odradili od placení. Podle vyšetřování se to týkalo minimálně pěti obětí. Martino byl za tuto součinnost placen přímo ransomwarovou skupinou.
Spolu s dalšími dvěma bývalými bezpečnostními profesionály, Kevinem Martinem a Ryanem Goldbergem, se navíc podílel na přímém nasazení BlackCat ransomwaru proti dalším cílům. Z jednoho útoku takto získali přibližně 1,2 milionu dolarů v bitcoinu. Martin a Goldberg dostali dříve 48 měsíců vězení, Martino nyní 70 měsíců. Zabaveno bylo přes 10 milionů dolarů v majetku, včetně kryptoměn, vozidel a rybářského člunu.
Proč je insider hrozba u ransomwaru relevantní pro CTI
Bezpečnostní due diligence se obvykle soustředí na dodavatele IT infrastruktury, cloudové služby nebo software. Incident response a negotiation firmy stojí mimo tento rámec, přestože mají v okamžiku krize přístup k nejcitlivějším informacím, jaké organizace může mít: kolik je ochotná zaplatit, jak zoufalá je její situace, jaká data byla skutečně exfiltrována.
Tento přístup se běžně nepovažuje za rizikový, protože jde o partnera najatého na pomoc, nikoliv o dodavatele infrastruktury. Případ Martina ukazuje, že insider hrozba u ransomwaru může vzniknout i na této straně vztahu, a to z velmi konkrétní, finanční motivace.
Praktický důsledek pro organizace s BCP/DRP plánem: prověřování externích IR a negotiation partnerů by mělo zahrnovat stejnou úroveň pozornosti jako u jiných třetích stran s přístupem k citlivým datům. Smlouvy by měly obsahovat jasné oddělení rolí mezi vyjednavačem a subjekty, které mají přístup k forenzním datům, a ideálně nezávislou kontrolu komunikace s útočníkem.
Širší kontext
Případ zapadá do dlouhodobého tlaku amerických orgánů na rozklad infrastruktury BlackCat. V prosinci 2023 FBI získala přístup k infrastruktuře skupiny a zabavila několik jejích webů. Součástí zásahu byl i dešifrovací nástroj, který podle Ministerstva spravedlnosti pomohl stovkám obětí obnovit systémy bez placení výkupného a zabránil škodě odhadované na 99 milionů dolarů.
BlackCat od svého vzniku napadla přes 1000 obětí po celém světě a patří mezi nejaktivnější ransomware-as-a-service operace posledních let. Skupina fungovala klasickým modelem affiliate programu: poskytovala malware a infrastrukturu, útoky prováděli přidružení partneři. Typická byla dvojitá extorce, tedy krádež dat před zašifrováním systémů a následné vyhrožování jejich zveřejněním.
Restituční slyšení, které určí výši náhrady škody obětem, je naplánováno na 17. září.
Zdroje
- Okunytė, P. (2026). Ransomware negotiator helped hackers squeeze victims for bigger payouts. Cybernews. https://cybernews.com/security/former-ransomware-negotiator-blackcat-sentence/
- U.S. Department of Justice (2026). Florida Ransomware Negotiator Who Extorted and Attacked Multiple U.S. Victims Sentenced to Prison. https://www.justice.gov/opa/pr/florida-ransomware-negotiator-who-extorted-and-attacked-multiple-us-victims-sentenced-prison
- U.S. Department of Justice (2023). Justice Department Disrupts Prolific ALPHV/Blackcat Ransomware Variant. https://www.justice.gov/archives/opa/pr/justice-department-disrupts-prolific-alphvblackcat-ransomware-variant
