Tijdens een cyberincident blijven e-mail en samenwerkingsplatforms vaak beschikbaar, maar kunnen ze door aanvallers worden afgeluisterd of gemanipuleerd.
In de eerste uren na een ernstig cyberincident zijn er veel activiteiten gaande. Beveiligingsteams starten met onderzoek, IT probeert de impact te beperken, juridische afdelingen beoordelen mogelijke verplichtingen en het management wil weten wat er is gebeurd en welke maatregelen worden genomen. Vaak gebruiken teams dezelfde communicatiemiddelen als dagelijks, zoals e-mail, Slack, Teams, gedeelde documenten en videogesprekken.
De coördinatie wordt echter veel complexer wanneer de e-mail of samenwerkingsomgeving onderdeel is van het incident. Hoewel e-mail en vergaderingen nog lijken te functioneren, kan een aanvaller met toegang tot accounts van de incidentresponsers berichten lezen, plannen volgen of zich voordoen als een teamlid. Dit leidt tot een tweede crisis binnen het eerste incident, omdat de systemen die nodig zijn voor de afhandeling niet langer betrouwbaar zijn.
Incidentresponsplannen houden meestal rekening met het uitvallen van e-mail of samenwerkingsmiddelen, met alternatieven zoals telefoonlijsten en back-upvergaderlijnen. Minder vaak is er een plan voor situaties waarin deze systemen wel werken, maar niet zeker is wie de communicatie kan inzien, versturen of aanpassen. In dat geval is een vooraf bepaalde methode nodig om de respons buiten de normale kanalen te organiseren, terwijl wordt onderzocht wat er is gecompromitteerd.
Dit probleem is vooral zichtbaar bij ransomware-aanvallen, waarbij systemen uitvallen en alternatieve communicatie noodzakelijk wordt. Wanneer een aanvaller toegang heeft tot e-mail- en samenwerkingsaccounts van het respons-team, moet de omvang van die toegang worden vastgesteld en de indringer worden verwijderd zonder dat de aanvaller weet welke stappen worden genomen. Juridische teams hebben actuele informatie nodig voor meldingsverplichtingen, communicatieafdelingen bereiden klantvragen voor en het management verwacht updates. Elke communicatie kan waardevolle informatie prijsgeven aan de aanvaller die mogelijk meeluistert.
Veel organisaties vertrouwen tijdens incidenten op Teams of Slack omdat medewerkers deze systemen gewend zijn. Dit betekent echter dat de respons binnen een omgeving plaatsvindt die de aanvaller mogelijk al beheerst en monitort. Er zijn gevallen bekend waarbij aanvallers deelnamen aan of opnamen maakten van Zoom- en Teams-vergaderingen die voor incidentbesprekingen werden gebruikt.
Het betrekken van een jurist in een groot incidentkanaal maakt niet automatisch alle gesprekken vertrouwelijk. Operationele feiten en juridisch advies hebben verschillende doelen, en het is noodzakelijk te bepalen wie deelneemt aan gevoelige gesprekken. Als een aanvaller het kanaal heeft gelezen, moet worden aangenomen dat alle plannen, analyses en concept-verklaringen buiten de organisatie zijn gekomen. Dit kan leiden tot afpersing of juridische gevolgen.
