8 октября в Филадельфии ФБР задержало 54-летнего Эдварда Дубровского, известного в индустрии как специалист по переговорам при ransomware-инцидентах. По версии следствия, переговорщик с вымогателями, которого компании могли привлекать для защиты после атаки, сам мог действовать в интересах группировки ShinyHunters. Для российских ИТ-команд это неприятное, но полезное напоминание: подрядчик, которому выдают доступ в разгар инцидента, должен проходить проверку не легче штатного администратора.
Дубровского задержали прямо во время Philadelphia Cyber Risk Summit, где его бывшая компания Cypfer выступала крупнейшим спонсором. Ему предъявлены федеральные обвинения в сговоре с целью вымогательства и воспрепятствовании торговле угрозами. Как сообщает Dark Reading, следствие проверяет его возможную связь с расследованием деятельности ShinyHunters; по оценке ФБР, эта группа получила от атак более $70 млн. Обвинения пока не равны приговору, но сам набор обстоятельств уже ставит неудобный вопрос к рынку реагирования на инциденты.
Переговорщик получает доступ к самым чувствительным деталям атаки: понимает, какие системы остановлены, какие данные украдены, что особенно болезненно для бизнеса и какую сумму компания теоретически готова заплатить. Он общается с атакующими, рекомендует тактику и нередко участвует в обсуждении выкупа. Если у такого человека есть скрытый конфликт интересов, обычная утечка превращается в ситуацию, где у преступников появляется источник информации прямо внутри антикризисного контура.
Проблема не сводится к одному человеку. Большинство организаций умеет проверять постоянных поставщиков: облака, зарплатные сервисы, процессинговые платформы, интеграторов. Там есть анкеты, договорные гарантии, аудиты, требования к защите данных и периодическая переоценка рисков. Но когда в полночь шифровальщик останавливает производство или блокирует доступ к клиентской базе, процедура обычно заканчивается фразой «нужен кто-то прямо сейчас». В дело идет рекомендация страховщика, знакомый контакт или компания с убедительным сайтом.
Именно этот режим срочности ломает контроль. Эксперта по реагированию могут выбрать без проверки биографии ключевых сотрудников, актуального статуса в компании и потенциальных связей с преступными группами. В случае Дубровского это особенно показательно: в его профиле LinkedIn указывалось, что он был основателем Cypfer, тогда как представитель компании сообщил журналистам, что он не был основателем, занимал должность управляющего директора и ушел в ноябре 2025 года. Для клиента, который нанимает специалиста по громкому прошлому месту работы, такая разница совсем не косметическая.
ShinyHunters уже фигурировала в громких компрометациях. В частности, атакующие использовали известную непатченную уязвимость Oracle PeopleSoft у подрядчика Accenture, обслуживавшего сайт FBIjobs.gov. После проникновения они, по приведенным в публикации данным, добрались до AWS GovCloud и выгрузили от 2 до 3 ТБ данных сотрудников ФБР — включая адреса, номера социального страхования и экстренные контакты. История неловкая для всех участников: ведомство, расследующее риски третьих сторон, само пострадало из-за проблем у подрядчика и непримененного обновления.
Для разработчиков и ИТ-директоров вывод не в том, что нужно отказаться от внешних IR-команд. Без них при серьезной атаке часто не обойтись. Но переговорщик с вымогателями, криминалисты и фирмы реагирования должны быть включены в заранее утвержденную панель поставщиков. Проверять нужно не только юрлицо, но и руководителей: прошлые места работы, реальные должности, публичные аффилиации и раскрытые конфликты интересов. Полезно заранее закрепить в договоре письменное заявление об отсутствии финансовых связей с преступными группами, правила коммуникации с атакующими и обязанность немедленно сообщать об изменении статуса ключевых специалистов.
Отдельная задача — не превращать оценку поставщиков в обмен анкетами. Команде управления третьими сторонами нужна постоянная техническая экспертиза: способность оценить, патчит ли подрядчик критические системы, действительно ли он может выполнить заявленные работы и не выглядит ли его модель взаимодействия с атакующими подозрительно удобной для обеих сторон. После каждого крупного инцидента стоит пересматривать работу привлеченной фирмы так же внимательно, как действия собственной SOC-команды.
Рынок incident response строится на доверии, а доверие в кризисе стоит особенно дорого. Дело Дубровского показывает, что переговорщик с вымогателями не должен быть исключением из программы контроля поставщиков только потому, что его нанимают в худший день компании. Следующая зрелая практика для бизнеса — иметь проверенный список кризисных подрядчиков до атаки, а не искать спасателя в тот момент, когда у атакующих уже есть рычаги давления.