Едноседмичната слепа зона се превърна в данъчна катастрофа

Кибератаката с ransomware в Берлин постави на фокус един от най-предотвратимите провали в реагирането при инциденти: пролуката между забелязването на пробив и реалното му прекратяване. Според репортажи за инцидента, групата за ransomware Rhysida проникна в правителствената мрежа на Берлин и сега твърди, че е откраднала 5,79 терабайта данни. Този обем според съобщенията включва файлове, свързани с уязвимости във водоснабдяването, както и некриптирани идентификационни данни — вид информация, която в грешни ръце може да застраши много повече от административна документация.

Това, което прави случая особено забележителен, не е само обемът на данните или целта. А времевата линия. Разследващите установиха, че между откриването на нахлуването и реалното изолиране на берлинската мрежа са минали приблизително седем дни. При реагиране на ransomware точно този прозорец е мястото, където се случва истинската щета. Нападателите, които вече са си осигурили достъп, използват всеки допълнителен час, за да се движат странично, да открият високоценни файлове и тихо да ги извлекат, преди защитниците да затворят вратите.

Управляващият кмет на Берлин потвърди, че градът няма да плати искания от нападателите откуп от 30 биткойна. Това решение е в съответствие с дългогодишните насоки на агенциите за киберсигурност, които по принцип обезкуражават плащането на откупи, защото то финансира допълнителна престъпна дейност и не дава гаранция, че откраднатите данни няма да бъдат изтекли или продадени.

Защо седемдневната пролука при изолирането е толкова важна

Откриването на нахлуване с ransomware е само половината от битката. Другата половина, и може би по-спешната, е ограничаването. Седемдневното забавяне между откриването и изолирането дава на натрапник като Rhysida достатъчно време да картографира мрежата, да идентифицира чувствителни хранилища и да организира мащабни трансфери на данни, преди някой да изключи тока.

Това е повтаряща се тема в големите пробиви: уязвимостта, която е позволила на нападателите да влязат, често е по-малко вредна от бавната реакция, която им позволява да останат. Това отразява по-широк модел, наблюдаван в света на сигурността, където непатчвани или слабо наблюдавани системи създават прозорци на възможност, които продължават много по-дълго, отколкото би трябвало. Дори извън правителствените мрежи тази динамика се появява редовно. Когато Microsoft патчва рекордните 570 бъга в един единичен цикъл на актуализация, това беше напомняне, че огромният мащаб на софтуерните уязвимости прави бързото откриване и още по-бързото ограничаване съществено, а не опционално, за всяка организация, която държи чувствителни данни.

За правителствена мрежа, отговорна за услуги, свързани с публичната инфраструктура, седмичната пролука не е просто ИТ проблем. Това е период, през който критични системи, включително евентуално свързани с операции по водоснабдяване, са били изложени без ясна представа какво е било достъпвано или премахнато.

Последиците за поверителността на жителите на Берлин

Категориите данни, които Rhysida твърди, че е взела, повдигат реални опасения за поверителността. Некриптираните идентификационни данни, което означава входна информация, която не е била криптирана или хеширана, са особено опасни, защото могат да бъдат използвани незабавно, ако съвпадат с акаунти другаде. Като се има предвид колко често хората повтарят пароли в лични и работни акаунти, кражбата на некриптирани идентификационни данни от правителствена система може да се разпространи навън към имейл акаунти, банкови профили и други лични услуги, използвани от служители или жители.

Освен това има данни за уязвимости във водоснабдяването. Подробностите за слабости в инфраструктурните системи са чувствителни не защото директно разкриват лична информация, а защото могат да бъдат експлоатирани от други злонамерени актьори, които искат да нарушат публичните услуги. Комбинирането на инфраструктурни данни с откраднати идентификационни данни създава сценарий, при който същият пробив засяга едновременно и личната поверителност, и обществената безопасност.

Отказът на берлинските власти да платят откупа е разумна позиция от политическа гледна точка, но също така означава, че съдбата на откраднатите данни вече е до голяма степен извън контрола на града. Rhysida, както много групи за ransomware, има история на заплахи да публикува или продава данни, когато исканията не бъдат изпълнени.

Какво означава това за вас

Ако живеете в Берлин или използвате услуги на градската администрация, този пробив е напомняне да смените всички пароли, които може да сте използвали в общинските портали, особено ако сте повторили същата парола другаде. Внимавайте за фишинг опити, които се позовават на пробива или се представят за официални лица от града, тъй като нападателите често използват публични новини за пробиви, за да подмамят жертвите да кликнат върху злонамерени връзки.

По-общо, този инцидент е полезен казус за всяка организация, публична или частна. Урокът не е само за ransomware. Става въпрос за скоростта на реакция. Откриването без бързо ограничаване дава на нападателите време, а времето е точно това, което превръща ограничен инцидент в масово кражба на данни.

Ключови изводи

  • Ransomware групата Rhysida твърди, че е извлякла 5,79 TB данни от правителствената мрежа на Берлин, включително файлове за уязвимости във водоснабдяването и некриптирани идентификационни данни.
  • Седемдневната пролука между откриването и изолирането на мрежата даде на нападателите допълнително време да открият и откраднат чувствителни файлове.
  • Управляващият кмет на Берлин отказа да плати искания откуп от 30 биткойна, в съответствие със стандартните насоки за киберсигурност.
  • Жителите и служителите на града трябва да актуализират повторно използваните пароли и да бъдат бдителни за фишинг опити, свързани с този пробив.
  • Организациите от всякакъв размер трябва да третират скоростта от откриване до изолиране като критичен показател за сигурност, а не като второстепенна мисъл.

Кибератаката с ransomware в Берлин подчертава една жестока истина в киберсигурността: да забележиш заплаха е полезно само ако можеш да действаш достатъчно бързо, за да има значение. Тъй като се появяват повече подробности за обхвата на откраднатите данни, инцидентът вероятно ще служи като референтна точка за това колко бързо критичните инфраструктурни мрежи трябва да действат, след като бъде открито нахлуване.