Berlin trodser Rhysida-ransomwarens fredagsfrist

Hvad skete der i Berlin-ransomware-hændelsen

Berlin-angrebet med Rhysida-ransomware er blevet den seneste påmindelse om, at offentlige institutioner er prime mål for afpresningsbander, og at det at betale ikke længere behandles som en levedygtig mulighed af mange regeringer. Berlins delstatsregering bekræftede, at angribere trængte ind i deres netværk og stjal data, og embedsmænd har offentligt erklæret, at de ikke vil betale den løsesum, der blev krævet for at holde disse oplysninger private.

Gruppen bag angrebet, Rhysida, er en ransomware- og afpresningsoperation, der mistænkes for at have russiske forbindelser. Ifølge rapportering pålagde Rhysida Berlins regering en fredagsfrist og truede med at frigive det stjålne materiale, hvis løsesummen ikke blev betalt. Angriberne hævder at have eksfiltreret 5,79 TB data fra Berlins statsnetværk, en mængde, der er stor nok til potentielt at omfatte en bred vifte af administrative, personalerelaterede og borgerrelaterede optegnelser. For en dybere gennemgang af selve hændelsen giver den oprindelige dækning af Berlins afvisning af Rhysida-løsesumskravet en mere detaljeret tidslinje og omfanget af tyveriet.

Hvorfor regeringer nægter at betale ransomware-krav

Berlins beslutning passer ind i et bredere mønster, der er opstået blandt offentlige sektorer, der er ofre for ransomware. Regeringsorganer nægter i stigende grad at forhandle med afpresningsgrupper, selv når mængden af stjålne data er betydelig, og selv når angribere sætter hårde frister designet til at presse en hurtig betaling.

Der er praktiske årsager bag denne holdning. At betale en løsesum garanterer ikke, at stjålne data vil blive slettet eller holdt fortrolige. Afpresningsgrupper som Rhysida opererer uden for enhver håndhævbar aftale, og organisationer, der betaler et krav, kan blive gentagne mål. Offentlige institutioner står også over for øget kontrol: at bruge skatteydernes midler til at betale kriminelle grupper, nogle med mistænkt statslig eller organiseret kriminalitetsstøtte, rejser juridiske og politiske komplikationer, som private virksomheder ikke altid står over for på samme måde.

Resultatet er, at når regeringsnetværk bliver kompromitteret, kan borgere, hvis data ligger i disse systemer, ofte ikke stole på, at en løsesumbetaling beskytter deres oplysninger. Uanset om Berlin betaler eller ej, betyder det faktum, at 5,79 TB allerede er blevet kopieret ud af netværket, at eksponeringen i praksis allerede er sket.

Hvad et 5,79 TB databrud betyder for berørte borgere

Et brud af denne størrelse er betydeligt ikke på grund af tallet alene, men på grund af hvad regeringsnetværk typisk gemmer: identifikationsoptegnelser, skatte- og ydelsesoplysninger, ansættelsesregistre og korrespondance mellem myndigheder og beboere. Når en ransomware-gruppe hævder at have data af denne skala fra en delstatsregering, er den sikreste antagelse for enhver, der er forbundet med den jurisdiktion, at nogle personlige oplysninger kan være inkluderet, uanset om de nogensinde bliver offentliggjort.

Dette er en nyttig mental model for enhver beboer, der er berørt af et offentligt sektorbrud: behandl muligheden for eksponering som reel fra det øjeblik et angreb er bekræftet, ikke fra det øjeblik stjålne filer faktisk dukker op online. Ransomware-grupper offentliggør nogle gange prøver for at bevise deres krav, lækker nogle gange fulde datasæt efter en frist er overskredet, og frigiver nogle gange aldrig noget, hvis de finder en anden måde at profitere på. At vente på bekræftelse, før man tager beskyttende skridt, spilder værdifuld tid.

Dette mønster er ikke unikt for Berlin. Ransomware-grupper har gentagne gange målrettet offentlig infrastruktur og forsyningsselskaber, herunder tilfældet med Qilin-ransomware, der ramte Grayson Rural Electric Cooperative, et forsyningsselskab, der betjener kunder på tværs af flere amter. Disse hændelser viser, at angreb på regerings- og offentlig infrastruktur er en tilbagevendende risiko, ikke en isoleret begivenhed.

Hvordan enkeltpersoner kan beskytte deres data, når offentlige institutioner bliver brudt

Borgere kan generelt ikke kontrollere, om et regeringsnetværk bliver brudt, men der er skridt, der reducerer personlig risiko efter et:

• Hold øje med officielle brudmeddelelser fra din lokale eller statslige regering, og følg eventuel vejledning, de giver om berørte tjenester.
• Tjek kreditrapporter og finansielle opgørelser oftere, hvis du interagerer med offentlige tjenester, der gemmer finansielle eller ydelsesrelaterede data.
• Brug unikke, stærke adgangskoder til eventuelle regeringsportaler eller borgerkonti, og aktivér multi-faktor-godkendelse, hvor det tilbydes.
• Vær forsigtig med phishing-forsøg, der henviser til bruddet, da angribere nogle gange bruger nyheden om et læk til at skabe overbevisende svindelbeskeder.
• Overvej at fryse din kredit, hvis du mener, at meget følsomme identifikationsdata kan være inkluderet i de stjålne filer.

Hvad dette betyder for dig

Berlin-angrebet med Rhysida-ransomware er en case study i en tendens, der sandsynligvis vil fortsætte: offentlige institutioner står fast mod afpresningskrav, mens den underliggende dataeksponeringsrisiko for borgere forbliver uanset udfaldet. At nægte at betale er ofte den rigtige beslutning fra et politisk perspektiv, men det sletter ikke det faktum, at følsomme optegnelser allerede kan være i kriminelle hænder. For beboere forbundet til ethvert brudt offentligt system er den praktiske respons den samme, uanset om en løsesum i sidste ende bliver betalt: antag noget eksponering, overvåg konti, og stram personlige sikkerhedspraksisser knyttet til offentlige tjenester.

Da ransomware-grupper fortsætter med at målrette offentlig infrastruktur, fra delstatsregeringer til forsyningskooperativer, er det at holde sig informeret om disse hændelser og gennemgå din egen dataeksponeringsrisiko en af de få konkrete handlinger, der er tilgængelige for enkeltpersoner. Læsere, der ønsker de fulde detaljer om Berlin-hændelsen, kan gennemgå den originale dækning linket ovenfor, og de, der er interesseret i, hvordan ransomware påvirker essentielle tjenester, bør også se på Grayson Rural Electric Cooperative-sagen som et andet eksempel på offentlig infrastruktur under angreb.