Консультант по ransomware обвиняется в том, что платил выкуп вместо расшифровки
Владелец компании по «восстановлению после ransomware» предстал перед судом в Нью-Йорке по обвинению в мошенничестве с использованием электронных средств связи. Об этом пишет CSO Online. По версии окружного прокурора Джозефа Ночеллы, Зохар Пинхаси, известный также как Zack Silver и Zack Green, обещал клиентам MonsterCloud вернуть зашифрованные файлы без выплаты выкупа, а на деле платил злоумышленникам за ключ и оставлял себе разницу.
Что утверждает обвинение
На сайте MonsterCloud, по материалу CSO, компания позиционировала себя как альтернативу выплате: команда «специализируется на восстановлении данных без уступок требованиям вымогателей». Обвинительное заключение, напротив, говорит, что никакой собственной технологии расшифровки не было: Пинхаси платил преступникам, сотрудники фирмы затем пытались открыть файлы клиента полученным ключом, а счёт жертве выставляли существенно выше суммы выкупа. Пример из 2023 года: платёж злоумышленнику 8200 долларов при счёте клиенту в 150 тысяч.
Ночелла назвал это повторной виктимизацией: человек уже потерял доступ к данным, а потом ещё раз заплатил посреднику, который, по версии следствия, делал ровно то, от чего официально отговаривают.
Почему жертвы идут к таким фирмам
Государства, включая США, советуют не платить выкуп: это финансирует следующие атаки и не гарантирует возврат данных. Если группировка или страна под санкциями, платёж сам по себе может стать уголовным риском. На этом фоне обещание «расшифруем без выкупа» звучит как выход.
Илья Колоченко из ImmuniWeb, которого цитирует CSO, разделяет обычное завышение гонорара переговорщика и схемы с «третьей стороной»: якобы 50 процентов сверху за проверку безопасного удаления данных. Отдельно он описывает фейковые «правоохранительные органы», которые требуют залог «под штраф регулятора», и фейковые ИБ-фирмы, которые утверждают, что уже нашли украденные данные в даркнете и предлагают «стереть» их за деньги. Похожие дела, по его словам, уже доходили до суда: во Флориде в июле и против гражданина Латвии в мае.
Где это в модели зрелости
Решение «платить или нет» и выбор подрядчика на инцидент — это управление инцидентами, не закупка волшебной утилиты. Карта направлений — на странице зрелости. Первые сутки своего инцидента — по отдельному порядку.
Как проверить
До инцидента зафиксируйте в письменном виде: платите выкуп или нет, кто принимает решение, кто имеет право нанять внешнего «восстановителя». В договоре с такой фирмой требуйте описание метода: собственный декриптор, переговоры, выплата. Если метода нет — не подписывайте.
На инциденте не отдавайте посреднику единоличный доступ к резервным копиям и каналу связи с группировкой. Сверьте обещанную «расшифровку без выкупа» с блокчейном и выписками: расхождение в суммах — повод остановить работу. Если затронуты персональные данные, смотрите уведомление Роскомнадзора, а не обещания подрядчика.
Источники
- CSO Online. Ransomware consultant said he would decrypt data, is accused of paying ransoms instead. URL: https://www.csoonline.com/article/4233219/ransomware-consultant-said-he-would-decrypt-data-is-accused-of-paying-ransoms-instead.html.
