Psykologin bakom ransomware-hot: Medvetenhet om kriminalitet hos hotaktörer inom cyberutpressning

Denna observation, som i skärmdump 1, var intressant. Förutom det affärsspråk som användes kunde vi även observera en viss "ton" där de argumenterade eller rättfärdigade sitt avvikande beteende för att det skulle vara till gagn för det allmänna bästa, till exempel genom att peka på dåliga rutiner för nätverkssäkerhet eller allmänt dåliga rutiner för cybersäkerhet och informationssäkerhet hos sina offer. Nedan följer ett utdrag från Maze som förklarar skälen till deras kriminella beteende år 2020.

"Det finns många rykten, lögner och spekulationer kring vårt projekt. Därför bestämde vi oss för att svara på frågan "varför" och "för att".  

Varför? Vår värld sjunker i hänsynslöshet och likgiltighet, i lathet och dumhet. Om ni tar ansvar för andra människors pengar och personuppgifter, försök då att hålla dem säkra. Tills ni gör det kommer det att finnas fler projekt som Maze som påminner er om säker datalagring."

- Maze pressmeddelande, november 2020

Mellan februari 2021 och februari 2022 började vi samla in chattkonversationer, pressmeddelanden, tillkännagivanden och åsiktsartiklar från leak sites. Datainsamlingen resulterade i 232 unika innehållsdelar av 11 olika typer.

_{Tabell 1: Sammanfattning av det insamlade kvalitativa forskningsmaterialet}

Forskningsmaterialet samlades in från 35 olika hotbildsgrupper som tidigare eller för närvarande utövar cyberutpressning och upprätthåller en leak site på dark webb för att namnge och skämma ut sina offer. Ett undantag är Ryuk, som inte upprätthåller någon leak site såvitt vi vet. Det insamlade materialet är av kvalitativ karaktär och ger kontextuella uppgifter som hotbildsaktörerna har uttryckt offentligt. En begränsning är därför att dessa hotbildsaktörer formar den berättelse som vi har analyserat och att vi därför erkänner en viss subjektivitet i dess innehåll. Å andra sidan var förhandlingschatterna mellan gärningsmännen och offren ursprungligen tänkta att vara privata, men genom att enskilda personer i offerorganisationen hanterade dem felaktigt hamnade instruktioner om hur man fick tillgång till kommunikationskanalerna på allmänt tillgängliga webbplatser. Dessutom vill vi uttrycka att detta dataset inte på något sätt är avsett att vara representativt, det finns förhandlingar mellan hotbildsaktörer som förblev privata och otillgängliga. Vi anser ändå att innehållet i förhandlingarna och från de andra källorna är insiktsfullt och användbart för att undersöka hur gärningsmännen motiverar sina handlingar.

För att analysera det insamlade materialet valde vi att tillämpa en kriminologisk teori. Genom att tillämpa ett tvärvetenskapligt tillvägagångssätt, en kriminologisk teori på fenomenet cyberutpressning och utpressningstrojaner, hoppas vi få en bättre förståelse för detta hot och bidra till att besvara vår inledande fråga om huruvida hotbildsaktörerna är medvetna om att deras handlingar är avvikande eller kriminella.  

År 1957 fastställde Sykes och Matza de fem neutraliseringsteknikerna, ett teoretiskt tillvägagångssätt för att förstå brottslighet. I sina observationer motsatte de sig idén att brottslingar skulle lära sig sitt avvikande beteende genom subkulturer och lära sig (anti)sociala beteenden och värderingar i processen för social interaktion som deras nya alternativa uppsättning normer. I stället noterade de att brottslingar fortfarande skulle visa skuld eller ånger och hävdade därför att brottslingar skulle komma med "utvidgningar av försvar för brott i form av rättfärdiganden för avvikelse". Dessa rättfärdiganden skulle sedan göra det möjligt för förövaren att "driva" bort från de socialt accepterade normerna och värderingarna och delta i brottsligt beteende. Detta innebär inte att förövarna helt och hållet förkastar samhällets sociala normer, utan att de genom neutraliseringstekniker rationaliserar sig själva bort från de moraliska begränsningarna och därmed den sociala kontrollen. Detta skulle ske innan de deltar i brottslig verksamhet, vilket gör att de kan delta i brottslighet samtidigt som de i sin egen förståelse förblir icke avvikande.    

Fem olika typer av tekniker erkändes av Sykes och Matza och är välkända och etablerade inom kriminologin idag, även i den digitala kontexten (Brewer et al., 2020):

1. Att förneka ansvar kan helt enkelt bero på att det avvikande beteendet var en olyckshändelse och att brottslingen därmed förnekar sitt personliga ansvar. Det kan också hävdas att yttre krafter bidrog till beteendet och att omständigheterna därmed får skulden.

2. Förnekande av skada är frågan om huruvida någon faktiskt har skadats eller inte, men detta är svårt att avgöra i cyberrymden. Skadan kanske inte är lika "synlig". Man kan hävda att offret förtjänade det.

3. Att förneka offret kan vara en av de mest tillämpbara teknikerna när man forskar om cyberbrottslighet enligt Brewer et al. (2020). Eftersom cyberbrottslighet ibland kan verka offerlös, är sannolikheten för att begå brott med hjälp av denna neutraliseringsteknik mycket närvarande. Det kan också hävdas att skadan egentligen inte är en skada utan en rättmätig vedergällning eller bestraffning. Som Sykes och Matza (1957) konstaterar: "Genom en subtil alkemi förflyttar brottslingen sig själv till en position som hämnare".

4. Att vädja till högre lojaliteter innebär att brottslingar skulle offra sina laglydiga värderingar av samhället för värderingar av en mindre social grupp. Det kan också tolkas som att "hjälpa samhället" och visa lojalitet subgrupper som hackersamhällen (Chua och Holt, 2016). Detta innebär att individer inte förkastar sociala normer och värderingar generellt men potentiellt visar högre lojalitet mot normer som tillhör deras sociala undergrupp.

5. Att fördöma dem som fördömer är den sista av de fem neutraliseringsteknikerna och beskriver när gärningsmännen försöker flytta fokus från sitt avvikande beteende till motiv och beteende hos dem som ogillar det (myndigheter, föräldrar, lärare etc.).

Den här rapporten är tänkt att introducera dig till vår forskning och ge dig våra preliminära resultat. Vi ställde frågan om hotbildsaktörer innerst inne vet att deras handlingar är avvikande eller inte. Våra resultat visar att vi observerade hotfulla aktörer som tillämpade en mängd olika kombinationer av de fem neutraliseringstekniker som introducerades av Sykes och Matza. Detta gör det möjligt för hotfulla aktörer att "göra" brottslighet tillåten. Ofta tyder detta inte på att brottslingarna lever efter dessa avvikande normer och värderingar för livet, utan i stället på att de har hittat ett sätt, nämligen att rationalisera eller rättfärdiga sina handlingar för att kunna "driva" och därmed tillfälligt delta i kriminella aktiviteter.  

Den mest frekvent använda tekniken var förnekande av skada, när den inkluderade deltekniken "förnekande av skada - imitation av affärsspråk". Detta tyder på att hotbildsaktörerna har skapat en berättelse om sig själva som kan hjälpa dem att rättfärdiga sitt avvikande beteende till något mer acceptabelt, nämligen att "bedriva affärsverksamhet". Genom att förneka skadan ser förövarna inte den skada de har orsakat. Detta gäller särskilt i det digitala sammanhanget, där anonymitet och det rumsliga avståndet mellan offer och gärningsman kan möjliggöra detta förnekande på ett effektivt sätt.  

Om något verkar förövarna skylla på offret för skadan och hävdar att offret kunde ha förhindrat detta om det hade tillämpat bättre metoder för cybersäkerhet, och att offret därmed inte längre är ett offer. I det material som vi kodade som "Förnekande av offerrollen" finner vi motiveringar som går i linje med den befintliga litteraturen, där de beskriver sina handlingar som "rättmätiga vedergällningar" som svar på offrets fel och följaktligen betraktar sig själva som en Robin Hood-liknande figur. Alternativt skulle vissa hotfulla aktörer hävda att offret har råd med vedergällningen och i vissa fall till och med kan dra nytta av den. Det vill säga att det inte skulle falla offer för andra "konkurrenter" till utpressning på nätet.

Som tur är är Conti här för att förhindra ytterligare skador! För det första kan vi ge dig IT-stöd genom att erbjuda ett dekrypteringsverktyg samt en säkerhetsrapport som tar upp de ursprungliga problemen med din nätverkssäkerhet som ledde till den här situationen. För det andra kan vi erbjuda dig tjänster för att förebygga skador." -Conti, nekande av offret