Martino erhielt für seine Mitarbeit Geld von BlackCat. Darüber hinaus räumte er ein, mit zwei weiteren Sicherheitsfachleuten konspiriert zu haben: Ryan Goldberg aus Georgia und Kevin Martin aus Texas. Zwischen April und November 2023 setzten sie die BlackCat-Ransomware erfolgreich gegen mehrere Opfer in den USA ein.
Nach Angaben des Justizministeriums erpressten die Männer ein Opfer um rund 1,2 Millionen US-Dollar in Bitcoin, teilten ihren Anteil an dem Lösegeld zu dritt auf und wuschen die Gelder auf verschiedenen Wegen. Von Martino haben die Strafverfolgungsbehörden bislang Vermögenswerte im Umfang von rund zehn Millionen US-Dollar beschlagnahmt, darunter mehrere Fahrzeuge – etwa einen Imbisswagen und ein Luxusboot – sowie digitale Währung aus der Ransomware-Tätigkeit.
Martino bekannte sich in einem Anklagepunkt der Erpressung für schuldig. Goldberg und Martin hatten sich im Dezember in derselben Sache schuldig bekannt. Martino soll am 9. Juli verurteilt werden, die beiden anderen am 30. April. Allen dreien droht eine Höchststrafe von 20 Jahren Haft.
Martino und Martin waren bei DigitalMint angestellt, Goldberg bei Sygnia. Beide Firmen erklärten, vollständig mit den Strafverfolgungsbehörden kooperiert zu haben. DigitalMint hatte Dark Reading zuvor mitgeteilt, dass beide schuldigen Mitarbeiter entlassen worden seien und ihr Handeln gegen die ethischen Standards des Unternehmens verstoßen habe. Sygnia erklärte, Goldberg habe auf eigene Faust gehandelt; Kunden des Unternehmens seien nicht betroffen gewesen.
Martinos Schuldbekenntnis fiel laut Justizministerium drei Tage nach dem des Briten Tyler Buchanan, der sich des Überweisungsbetrugs und des schweren Identitätsdiebstahls schuldig bekannte. Er soll mit anderen mindestens ein Dutzend Unternehmen über SMS-basierte Phishing-Angriffe kompromittiert und virtuelle Währung im Wert von mindestens acht Millionen US-Dollar gestohlen haben. Der 24-Jährige soll mit Scattered Spider in Verbindung gestanden haben.
Daniel Tobok, Geschäftsführer der Incident-Response-Firma Cypfer und langjähriger Ransomware-Verhandler, sagte gegenüber Dark Reading, Martino habe nach den verfügbaren Informationen aller Wahrscheinlichkeit nach zu weitreichenden Zugriff auf Finanzdaten und Zahlungsprozesse gehabt, was es ihm ermöglicht habe, konkrete Informationen an BlackCat weiterzugeben. Er sei überzeugt, dass die Person, die die Verhandlungen führe, vom Zahlungsprozess getrennt sein müsse. Bei einer klaren Trennung führten verschiedene Personen die Verhandlungen, entwickelten die Strategie und legten eine Summe fest – sie hätten dann nichts, woraus sie persönlichen Vorteil ziehen könnten. Solche Trennlinien verringerten Interessenkonflikte und Selbstbereicherung.
Morey Haber, Chief Security Advisor bei BeyondTrust, schrieb in einer E-Mail, eine unangenehme Lehre aus dem Vorfall sei, dass Vertrauen – selbst gegenüber den eigenen Beschützern – nicht absolut sein dürfe. Für Ransomware-Opfer müsse Vertrauen stets überprüft und nicht durch einen Firmennamen, einen Titel oder eine Website mit Verhandlungsangeboten unterstellt werden. Opfer sollten die Rollen Verhandlung, Reaktion und Forensik voneinander trennen und auch für Dritte, die sensible Vorfallsdaten verarbeiten, das Prinzip der minimalen Rechtevergabe durchsetzen.