編按：本文綜合整理自 Ars Technica、美國司法部新聞稿、CyberScoop、BleepingComputer、TechCrunch、CNN 與 WSJ Pro，並加入 Siami 編輯部觀點與分析。
一名 41 歲、住在佛羅里達州的勒索軟體談判專家 Angelo Martino，2026 年 7 月 9 日遭美國聯邦法院判處 70 個月（約 5 年 10 個月）有期徒刑，罪名是長期暗中與 BlackCat（又稱 ALPHV）勒索軟體集團合作，把委託他保護的 5 家受害企業——包括飯店業、非營利組織、金融服務業、零售業與醫療業——的機密談判底牌全盤交給駭客，讓受害者支付的贖金從原本可壓低的價位一路被抬高，5 名受害者合計支付超過 7,500 萬美元（約新台幣 23 億元）。這個案件被 FBI 網路部門助理主任 Brett Leatherman 形容為「被委託保護受害者的人，反而把這些受害者整個賣掉」。
事件始末：從談判專家變成雙面間諜
根據美國司法部 7 月 9 日的量刑備忘錄，Martino 自 2022 年 11 月起在芝加哥資安事件應變公司 DigitalMint 任職，先以獨立資安顧問身份，後轉為全職員工，期間透過公司配發的筆記型電腦在家遠距工作，直到 2025 年 4 月被解僱。DigitalMint 的業務是替遭到勒索軟體攻擊的客戶與駭客談判，協助客戶壓低贖金金額或在不付贖金的情況下恢復系統。
然而檢方指出，Martino 在 2023 年 4 月開始與 BlackCat 集團「翻臉合作」：
- 他透過加密通訊平台 Tox，以及 BlackCat 後台一個只有他與駭客看得到的「intermediary chat」分頁，把客戶的保險理賠上限與內部談判底線直接傳給駭客
- 作為交換，每當客戶被迫提高贖金金額時，Martino 都能從中抽取一筆加密貨幣分紅
- 5 名受害者單筆贖金從 21.3 萬美元到 2,680 萬美元不等，全部集中在 2023 年 4 月至 9 月這 6 個月內
- Martino 還另外透過取得 BlackCat「affiliate（加盟者）」帳號，自行與另兩名同謀對另外 5 家企業發動勒索攻擊，其中一家醫療器材公司支付了 120 萬美元贖金
FBI 探員在 Martino 名下查扣了價值數百萬美元的加密貨幣，但 Martino 早已動用其中大部分在佛州購買兩棟房子、一艘船和多輛車。Martino 雖然向法院求情 24 個月輕判，並強調自己「對兩名同謀遭到起訴與定罪提供了實質協助」，但法官仍採用量刑指引建議的中位數，判處 70 個月，外加沒收財產、出獄後 10% 薪資上交政府的附加條件。
🚨 為什麼這件事重要：整個委外應變產業的信任基礎被撼動
這個案子的重要性遠超過單一犯罪事件——它直接挑戰了勒索軟體受害企業在事件發生後的第一道防線。
過去 10 年，勒索軟體產業鏈已經高度專業化：當企業被駭，第一通電話往往不是打給 FBI，而是打給像 DigitalMint、Coveware、Unit 5280 這類「勒索軟體談判公司」，由專業人士介入與駭客周旋，目標是用最低贖金換回解密金鑰，或乾脆靠備份與保險不付錢。這條供應鏈之所以能運作，前提是談判者必須站在客戶這邊——因為他們手上掌握了企業最敏感的兩項資訊：
- 保險理賠上限：決定駭客能獅子大開口的最大空間
- 內部談判底線：決定客戶願意付錢的最低心理價位
一旦這兩個數字外洩到駭客端，客戶就完全失去議價能力。Martino 利用 BlackCat 後台的「中間人聊天分頁」精準地把這兩個數字送出去，等於是讓客戶在牌桌上底牌全掀還以為自己在公平對決。
WSJ Pro 與 Complex Discovery 都點出更深一層的影響：這是美國第一起「勒索軟體談判專業人士」被以「陰謀干擾州際商業」罪名起訴與定罪的案例，意謂著委外應變（incident response）這個過去處於灰色地帶的產業，正式被聯邦司法體系盯上。預期未來客戶與委外廠商簽約時，會更嚴格要求：
- 委外談判人員的通訊管道必須全程留紀錄，禁止使用 Tox 等加密通訊
- 內部 audit log 要能追蹤談判人員接觸的所有駭客端對話紀錄
- 對談判人員進行定期隨機抽樣審查（類似金融業的合規監控）
- 要求委外廠商購買更高額的專業責任險（E&O insurance）以涵蓋這種內鬼風險
DigitalMint 在案發後發出聲明，強調「Martino 與其同謀的行為是刻意對公司隱瞞的，明顯違反公司價值觀、倫理標準與法律」，並表示公司的內部控制（包括背景調查與合規程序）符合業界標準，但 Martino「透過未經授權的獨立通訊管道」規避了這些控管。換句話說，DigitalMint 把自己定位為「同為受害者」，這個說法能否被業界接受，仍有待後續觀察。
從受害者到主動攻擊者：Martino 的三條犯罪路線
檢方起訴書與量刑文件顯示，Martino 的犯罪行為遠超過單純的「內鬼洩密」，整個案情可拆解為三條獨立但交織的犯罪路線：
- 洩密路線（核心犯罪）：把 5 名客戶的保險與底線資訊傳給 BlackCat，協助駭客抬高贖金，從中抽佣。這條線讓 5 家企業在 2023 年 4 月到 9 月間合計支付超過 7,530 萬美元。
- 自行攻擊路線：2023 年 5 月 Martino 取得 BlackCat 的 affiliate 帳號後，與同謀 Kevin Martin（前 DigitalMint 同事）、Ryan Goldberg（前 Sygnia 資安事件經理）三人聯手，對另外 5 家企業發動勒索攻擊。其中一家醫療器材公司支付 120 萬美元，其餘 4 家雖未付款，但攻擊已造成營運損失。
- 加密貨幣洗錢路線：Martino 收到的贖金分紅以加密貨幣形式持有，最終被 FBI 查扣，但他在被起訴前已動用大部分資金購買佛州的兩棟房子、一艘船和多輛車。
Kevin Martin 與 Ryan Goldberg 早在 2025 年 11 月就被起訴，並於 2026 年 4 月各被判 4 年（即 48 個月）。Martino 是這個三人犯罪集團中最後一個遭判刑的成員，而美國政府對 BlackCat 集團本身仍提供最高 1,000 萬美元的懸賞，徵求有助於起訴 BlackCat 管理員與其他 affiliate 的線索。
在檢方的敘述裡，這個案子最諷刺的一點是：Martino 的工作是「保護客戶」——他比任何外部駭客都更清楚客戶的網路架構、防禦弱點、災難復原計畫與高層決策窗口。這種深度信任正是他轉化成「最佳內鬼」的養分。
🚨 數據解讀與質疑：這個判決夠重嗎？產業準備好了嗎？
從多個角度檢視這個案子的量刑與後續影響，可以提出幾個值得追蹤的問題：
量刑爭議：
- 美國量刑指引根據 Martino 的有限前科，建議 70 至 87 個月，最終判 70 個月剛好落在下限
- Martino 一開始只求刑 24 個月，但實際上他一人就讓 5 家企業付出 7,500 萬美元贖金，平均每萬元贖金只換到 0.56 天的刑期
- 相較之下，2024 年 Change Healthcare 遭 BlackCat 攻擊後，母公司 UnitedHealth 為全美醫療支付系統中斷付出超過 30 億美元成本——單一事件的經濟衝擊就遠超本案所有受害者合計
產業準備度質疑：
- DigitalMint 強調「內部控制符合業界標準」，但這個業界標準顯然沒有涵蓋加密通訊的內部審計——因為業界過去根本沒有預料到談判人員會主動建立獨立通訊管道
- 目前沒有任何公開資安認證（如 SOC 2 Type II、ISO 27001）強制要求事件應變廠商必須對談判人員的對外通訊進行獨立稽核
- 業界也沒有共識的「談判人員背景調查頻率」標準，DigitalMint 只做了一次入職背景調查就放行整個犯罪計畫
未被解決的延伸問題：
- 5 名受害企業是否已從 DigitalMint 或其保險公司取得任何賠償？目前沒有任何公開文件顯示
- 美國證管會（SEC）於 2023 年通過的「資安事件揭露新規」要求上市公司在 4 個工作天內揭露重大資安事件——這 5 家受害企業中是否有上市公司？他們是否已依法揭露與 DigitalMint 的關係？
- BlackCat 集團在 2023 年 12 月遭 FBI 破獲後宣佈解散，但其 affiliate 網路是否已完全瓦解？從 Martino 在 2024-2025 年仍能持續與 BlackCat 體系通訊來看，答案很可能是否定的
後續發展與延伸閱讀
這個案件對資安產業的衝擊才剛開始發酵。短期內可預期：
- 委外合約升級：未來勒索軟體談判合約會開始出現「禁止使用未授權加密通訊」、「強制留談判對話紀錄」、「隨機稽核條款」等新規
- 保險公司重新定價：網路責任險（cyber liability insurance）對「委外談判」相關條款可能會重新評估
- 產業自律組織介入：類似 CREST、NASBA 這類資安專業認證機構，可能會把「事件應變倫理」與「獨立通訊稽核」列為強制要求
延伸閱讀：
網友熱門留言 (5)