مفاوض برمجيات الفدية يُدان: كيف باع أمني سيبراني ضحاياه للمجرمين؟

أعلنت وزارة العدل الأمريكية يوم الثلاثاء أن أنجيلو مارتينو، المفاوض السابق في شركة DigitalMint المتخصصة في الأمن السيبراني، أقرّ بالذنب في جريمة مساعدة عصابة برمجيات الفدية ALPHV المعروفة أيضاً بـ BlackCat، وذلك في قضية كشفت عن واحدة من أشد حالات الخيانة المهنية التي شهدها قطاع الأمن السيبراني في السنوات الأخيرة.

خلال ستة أشهر في عام 2023، تولّى مارتينو مهمة التفاوض مع عصابة برمجيات الفدية نيابةً عن خمس مؤسسات وقعت ضحيةً لهجمات تشفير بياناتها. لكن وراء الكواليس، كان يُمرّر معلومات سرية إلى المجرمين ذاتهم، من بينها حدود تغطية وثائق تأمين الضحايا الإلكتروني واستراتيجيات التفاوض التي كانوا يعتمدونها. وكان هدفه الصريح تعظيم مبالغ الفدية لصالح العصابة، مقابل الحصول على حصة من الغنيمة.

وصف المساعد المدعي العام A. Tysen Duva ما جرى بعبارة لا تحتمل التأويل: وثق مارتينو ضحاياه الذين أسبغوا عليه ثقتهم الكاملة، ثم انقلب عليهم وبدأ يشارك في شنّ هجمات برمجيات الفدية بنفسه.

تمتد أبعاد القضية لتشمل متهمَين آخرَين هما كيفن تايلور مارتن من DigitalMint ذاتها، وريان كليفورد غولدبيرغ من شركة Sygnia للأمن السيبراني، ما يجعل هذه أكبر ملاحقة قضائية موثقة لمفاوضي برمجيات الفدية المتواطئين في تاريخ القضاء الأمريكي. ووفقاً للسجلات القضائية، دفعت إحدى الضحايا ما يزيد على 1.2 مليون دولار فدية في حادثة واحدة.

من المقرر أن يواجه مارتينو عقوبة سجن قد تبلغ 20 عاماً، كما صادرت الجهات الأمنية أصولاً تُقدَّر قيمتها بعشرة ملايين دولار. وكان الاستجابة للحوادث وإدارة أزمات برمجيات الفدية قطاعاً يجني أرباحاً طائلة في السنوات الأخيرة، مما جعله هدفاً جذاباً للفاسدين الساعين إلى الإثراء السريع.

تجدر الإشارة إلى أن عصابة ALPHV/BlackCat كانت واحدة من أكثر مجموعات برمجيات الفدية نشاطاً وضراوةً؛ إذ ساعدت أكثر من 500 من ضحاياها عام 2023 على استرداد بياناتهم بعد أن داهمت جهات إنفاذ القانون الدولية الموقع الإلكتروني الخاص بها على الويب المظلم وصادرت مفاتيح فك التشفير.

تُلقي هذه القضية الضوء على ثغرة جوهرية في منظومة الاستجابة للحوادث الإلكترونية؛ وهي غياب آليات رقابة فعّالة على المفاوضين الذين يحظون بوصول غير مقيّد إلى معلومات بالغة الحساسية. فحين تستعين المؤسسة المنكوبة بوسيط خارجي للتفاوض مع المهاجمين، فهي تضع ثقتها المطلقة في هذا الوسيط، دون أن تمتلك في أغلب الأحيان أدوات للتحقق من نزاهته أو رصد تصرفاته.

يطرح هذا الملف سؤالاً أعمق حول المسؤولية القانونية والأخلاقية لشركات الاستجابة للحوادث: هل يكفي الاعتماد على السمعة وعقود السرية لحماية الضحايا؟ أم أن هذه الصناعة باتت بحاجة ماسة إلى تنظيم رقابي رسمي يُحدد معايير الاعتماد ومتطلبات الشفافية؟

في السياق الأشمل، تُسهم هذه القضية في تعقيد المعادلة أمام المؤسسات التي تتعرض لهجمات برمجيات الفدية؛ فإلى جانب قرار الدفع من عدمه، ثمة الآن تساؤل آخر لا يمكن تجاهله: من تثق به حين يكون الجميع في الغرفة ذاتها مشتبهاً محتملاً؟