Rhysida og Akira hævder angreb mod Berlin og Alumax: Næste skridt

Hvad Rhysida- og Akira-kravene faktisk siger

To ransomware-grupper har tilføjet nye navne til deres offerlister. Rhysida har hævdet et angreb knyttet til Berlin, mens Akira har angivet en virksomhed identificeret som Alumax. Som det er typisk for disse opslag, er de offentlige oplysninger tynde. Der er ingen detaljeret offentliggørelse af, hvilke systemer der angiveligt blev tilgået, hvor meget data der blev taget, hvilken metode der blev brugt til at opnå den oprindelige adgang, hvilket løsesumskrav der stilles, eller hvordan driften hos Alumax kan være blevet påvirket.

Dette er vigtig kontekst for alle, der forsøger at forstå nyheden. Et opslag på en ransomware-gruppes lækageside er først og fremmest et krav fremsat af angriberne selv. Det er ikke det samme som en bekræftet bruddisclosure fra offerorganisationen, en reguleringsindberetning eller en uafhængig retsmedicinsk rapport. Ransomware-bander bruger disse opslag som pressetaktik, designet til at presse et offer til at betale, før situationen er fuldt verificeret af eksterne parter. Læsere, der følger Berlin-situationen, kan få mere baggrund fra vores tidligere dækning af Rhysida ransomware-angrebet på Berlins regering, som brød ud lige før en planlagt afstemning.

Hvorfor uverificerede ransomware-opslag stadig berettiger en reaktion

Det er fristende at afvise et uverificeret krav som støj, men det ville være en fejltagelse. Et offeropslag kan repræsentere alt fra en tidlig afpresningsbløff til et fuldt udført brud med følsomme data, der allerede er eksfiltreret. Usikkerheden er netop pointen: Ransomware-operatører drager fordel af tvetydighed, fordi det giver dem tid og indflydelse, mens målorganisationen kæmper for at finde ud af, hvad der faktisk skete internt.

For alle, der måtte have et forhold til en af de to nævnte organisationer, hvad enten det er som medarbejder, kunde, partner eller beboer i tilfældet med en offentlig enhed, er den sikreste tilgang at behandle kravet som sandsynligt, indtil det modsatte er bevist. At vente på officiel bekræftelse, før man tager beskyttende foranstaltninger, kan efterlade et betydeligt eksponeringsvindue. Historien viser, hvor hurtigt disse situationer kan eskalere fra et krav til en bekræftet, storstilet hændelse. Vores tidligere rapport om et hospital ransomware-brud, der eksponerede næsten 338.000 patientjournaler, er en påmindelse om, at det, der starter som et lækagesideopslag, kan udvikle sig til en meget reel, meget stor dataeksponering, når detaljerne først er bekræftet.

Trin du kan tage, hvis du tror, dine data er blevet eksponeret

Hvis du mener, du kan være berørt af enten Berlin- eller Alumax-kravene eller et lignende ransomware-opslag, er der konkrete ransomware-brudsoffertrin, du kan tage med det samme i stedet for at vente på officiel bekræftelse:

• Skift adgangskoder knyttet til organisationen. Hvis du har en konto hos den berørte enhed, så opdater din adgangskode med det samme og undgå at genbruge den andre steder.
• Aktivér multi-faktor-godkendelse, hvor det er tilgængeligt, især på e-mail, bank og enhver konto, der deler et adgangskodemønster med den potentielt berørte tjeneste.
• Vær opmærksom på phishing-forsøg. Ransomware-brud fører ofte til en bølge af opfølgende phishing-e-mails eller opkald, der henviser til hændelsen for at fremstå legitime. Behandl uventede beskeder, der henviser til bruddet, med mistanke.
• Overvåg finansiel og identitetsmæssig aktivitet. Tjek bankudtog og overvej en kreditfrysning eller svindeladvarsel, hvis organisationen håndterer følsomme personlige eller finansielle data.
• Hold øje med officielle udtalelser. Følg verificeret kommunikation fra selve organisationen, lokale myndigheder eller etablerede nyhedskanaler i stedet for udelukkende at stole på ransomware-gruppens egne krav.
• Dokumentér alt. Hvis du senere modtager en brudmeddelelse, så gem optegnelser over enhver mistænkelig aktivitet, der fandt sted i mellemtiden. Dette kan hjælpe, hvis du skal bestride svigagtige gebyrer eller indgive en rapport.

Disse trin gælder bredt, uanset om enheden er en byregering som Berlin eller en privat virksomhed som Alumax. Målet er at reducere din personlige eksponering, uanset hvordan det underliggende krav til sidst bliver løst.

Hvordan afpresningspres fungerer, og hvorfor betaling ikke garanterer sletning

Grupper som Rhysida og Akira stoler på en velkendt opskrift: stjæle eller hævde at stjæle data, true med offentlig frigivelse eller salg og presse offerorganisationen til at betale før en deadline. Opslaget selv er ofte den første fase af den preskampagne, der har til formål at skabe offentlig opmærksomhed og skubbe forhandlingerne fremad.

Selv når en offerorganisation betaler, er der ingen garanti for, at stjålne data faktisk slettes, eller at de ikke dukker op senere, hvad enten det er solgt til en anden part, lækket trods betaling eller brugt i et opfølgende afpresningsforsøg. Det er derfor, at personer med tilknytning til en påstået offerorganisation ikke bør vente på at se, om en løsesum bliver betalt, før de tager deres egne forholdsregler. Den finansielle transaktion mellem en organisation og dens angribere, hvis den overhovedet finder sted, har ringe betydning for, om dine personlige oplysninger allerede er blevet kopieret og distribueret andre steder.

Hvad dette betyder for dig

Uanset om Rhysida-kravet mod Berlin eller Akira-kravet mod Alumax nogensinde bliver fuldt bekræftet, ændrer den praktiske rådgivning for alle potentielt berørte sig ikke meget. Ransomware-krav eksisterer i en gråzone mellem rygte og bekræftet hændelse, og netop den usikkerhed er grunden til, at proaktive ransomware-brudsoffertrin betyder noget. At handle tidligt koster dig lidt og beskytter dig, hvis worst-case-scenariet viser sig at være sandt.

Vigtigste pointer

• Behandl ransomware-gruppers krav som sandsynlige, men uverificerede, indtil en officiel kilde bekræfter detaljer.
• Skift adgangskoder og aktivér multi-faktor-godkendelse på alle konti knyttet til en potentielt berørt organisation.
• Vær opmærksom på phishing-beskeder, der henviser til bruddet for at fremstå troværdige.
• Overvåg dine finansielle konti og overvej kreditbeskyttelse, hvis følsomme data kan være involveret.
• Husk, at en løsesumbetaling fra offerorganisationen ikke garanterer, at dine data er sikre eller slettet.

At forblive informeret og handle hurtigt er stadig det bedste forsvar, mens disse krav arbejder sig hen imod bekræftelse eller løsning.