Negociação traída: como o caso Martino expõe o perigo de terceiros em incidentes de ransomware

A recente decisão que condenou Angelo Martino a 70 meses de prisão por colaborar com o grupo BlackCat e trair as vítimas que supostamente estava ajudando como negociador de resgate expõe uma ameaça dupla: não só existem os operadores de ransomware, mas também profissionais de resposta que, por cobiça ou colusão, podem transformar a ajuda em dano. Neste caso, segundo as autoridades, Martino forneceu aos atacantes informações confidenciais sobre limites de apólices e táticas de negociação dos seus próprios clientes, o que permitiu aos extorsionadores maximizar os montantes exigidos e causou danos financeiros e operacionais severos a empresas já em crise. O Departamento de Justiça e o FBI enfatizaram que, além de perseguir os autores diretos, os facilitadores internos e externos que habilitam essas campanhas.

Além do impacto individual, o episódio tem implicações sistêmicas para a gestão de incidentes: a confiança em fornecedores e negociadores torna-se um ponto de falha crítica. Muitas organizações delegam a negociação e a comunicação com atacantes especialistas externos durante uma crise, em parte para evitar erros tácticos e obter melhores resultados. No entanto, quando esses terceiros têm acesso a informações sensíveis —pólisas de seguro, postura interna sobre pagamentos, ou capacidades financeiras — podem converter essa vantagem numa alavanca que danifica o cliente se coluden com os atacantes. A sentença e a demissão de ativos demonstram que os ganhos ilícitos podem ser perseguidos, mas não refazem os negócios destruídos ou as relações profissionais danificadas.

Para as equipas de segurança e líderes empresariais, este caso sublinha a necessidade de incorporar controlos contratuais e técnicos antes e durante uma resposta a incidentes. Os acordos com fornecedores de resposta e incidência devem incluir cláusulas claras sobre conflitos de interesses, auditoria e obrigações de notificação à empresa, assim como sanções por conduta fraudulenta. Além disso, é imprescindível limitar e monitorar o acesso a informações sensíveis até mesmo para consultores externos: registros detalhados de que é partilhado, com quem e por que, e a conservação de cópias forenses que permitam verificar as comunicações e decisões tomadas na gestão do incidente.

No plano técnico, o reforço da resiliência reduz a dependência de negociações de resgate dispendiosos. Manter a segregação de redes, cópias de segurança offline e testadas e visibilidade contínua por EDR e logging centralizado evita que uma intrusão se torne uma crise onde a única saída pareça pagar. A preparação e a higiene cibernética eficaz são as melhores formas de reduzir a alavancagem que os atacantes e os seus facilitadores podem ter sobre uma organização. CISA e o FBI oferecem guias práticas sobre prevenção e resposta que convém rever como parte dos planos corporativos: Guia de CISA sobre ransomware e recursos do FBI sobre cibersegurança.

Outra arista crítica é a relação com as seguradoras. O caso mostra que os limites e termos das apólices podem ser objetivos dos atacantes ou, no pior dos cenários, de intermediários corruptos. As organizações devem exigir transparência no uso da informação de seguros durante uma negociação e documentar qualquer comunicação que envolva termos de apólice. Também é aconselhável coordenar antecipadamente com as equipas legais e com corredores de seguros para definir como serão geridas as obrigações contratuais e as revelações de informação numa crise.

A detecção e a resposta internas devem incluir mecanismos para identificar comportamentos anormais de terceiros: transferências de dados incomuns, acessos fora de horário ou duplicação de canais de comunicação com atores desconhecidos. Os controles de identidade e acesso, a rotação de credenciais, a segmentação de privilégios e a monitorização de exfiltração ajudam a limitar os danos que um ator mal-intencionado (interno ou externo) possa causar. Um processo de acreditação e verificação continuada para consultores de incidentes é tão importante quanto a verificação exigida a fornecedores tecnológicos críticos.

Do ponto de vista legal e de cumprimento, a ação do Departamento de Justiça envia uma mensagem clara: há consequências penais e civis para quem traiu clientes em incidentes de segurança. Isto deve incentivar as empresas a documentarem a sua cadeia de decisões durante incidentes e a colaborarem rapidamente com as autoridades quando detectarem indícios de colusão ou fraude. É também uma chamada de atenção para que as equipas de resposta e negociadores operem com códigos de conduta, auditorias e, se for caso disso, supervisão externa independente.

Para os profissionais da segurança, esse caso levanta reflexão ética: a posição de negociador implica responsabilidade fiduciária em situações de vulnerabilidade extrema. A indústria precisa de padrões profissionais, certificações e obrigações éticas que mitiguem o risco de maus atores Que expliquem a confiança das vítimas. Até que esses padrões se consolidem, as organizações devem exigir referências verificáveis, cláusulas contratuais rigorosas e, se possível, mecanismos de depósito em garantia ou terceiros de confiança para gerir fundos e comunicações sensíveis.

Em última análise, a condenação de Martino é um lembrete desconfortável de que a segurança não é apenas tecnológica, mas relacional e contratual. A melhor defesa contra extorsão e fraude é uma combinação de preparação técnica, governação rigorosa sobre terceiros e uma resposta coordenada com conselheiros legais e autoridades. Actuar agora para reforçar os controlos, rever os contratos de resposta e assegurar a transparência em todas as comunicações de incidentes pode fazer a diferença entre mitigar um ataque e transformá-lo numa catástrofe financeira e reputacional.