Hvad skete der: Rhysidas lækage på 5,26 TB

Ransomware-gruppen Rhysida har offentliggjort 5,26 terabytes data stjålet fra Berlins statsforvaltning på det mørke web. Lækagen følger et velkendt mønster for gruppen: infiltrer et netværk, eksfiltrer store mængder følsomme filer, kræv betaling, og offentliggør alt, når offeret nægter at betale. Denne seneste offentliggørelse er en del af en igangværende sag, som vpn.social har fulgt tæt, herunder Rhysidas tidligere offentliggørelse af næsten seks terabytes stjålne data fra Berlin og gruppens beslutning om at lække Berlins data, efter byen nægtede et løsesumskrav på 2 millioner euro.

Lækager af statslige data i denne størrelsesorden er sjældent enkeltstående hændelser. De har en tendens til at udfolde sig i faser, med indledende trusler, deadlines, delvise offentliggørelser og til sidst fuld offentliggørelse, når forhandlingerne bryder sammen. Berlins sag ser ud til at følge præcis denne bane, som kulminerer med denne offentliggørelse på 5,26 TB.

Hvem er Rhysida, og hvorfor angriber de offentlige institutioner

Rhysida har været aktiv siden 2023 og har opbygget et ry for især at målrette to sektorer: sundhedsorganisationer og offentlige forvaltninger. Blandt deres kendte ofre er Centro Hospitalar Universitário de Lisboa, et stort hospitalsnetværk i Portugal, og endda Vatikanet. Dette mønster er ikke tilfældigt. Hospitaler, bystyrer og religiøse institutioner kører ofte på forældede IT-systemer, opererer med stramme budgetter til cybersikkerhed og besidder enorme mængder følsomme personlige og administrative data – netop den kombination, der gør dem til attraktive mål for en gruppe, der leder efter data af høj værdi med forholdsvis svagere forsvar.

Ofre i den offentlige sektor står også over for et unikt dilemma, når de rammes af ransomware. At betale en løsesum til en kriminel gruppe rejser juridiske og etiske spørgsmål, og der er ingen garanti for, at betaling forhindrer, at data alligevel lækkes eller videresælges. At nægte at betale betyder omvendt, at data bliver offentlige, hvilket potentielt kan udsætte borgere, ansatte og statslige operationer for varig skade. Berlins regering er tidligere blevet rapporteret at have nægtet et løsesumskrav fremsat i Bitcoin inden en fastsat deadline, en beslutning der i sidste ende førte til, at dataene blev lækket frem for solgt eller tilbageholdt.

Dobbel afpresning – gruppens fremgangsmåde

Rhysida anvender en taktik kendt som dobbelt afpresning. I stedet for blot at kryptere filer og kræve betaling for en dekrypteringsnøgle stjæler gruppen først en kopi af dataene, før systemerne låses. Det giver dem to former for magtmidler: ofrene presses til at betale både for at genvinde adgangen til deres egne systemer og for at forhindre, at de stjålne data offentliggøres eller sælges. Hvis en løsesum ikke betales, følger gruppen op ved at offentliggøre dataene, som det er sket gentagne gange gennem hele Berlins sag, herunder i en tidligere offentliggørelse beskrevet som Berlins regeringsdata lækket efter afslag på løsesum.

Dobbelt afpresning er blevet stadig mere udbredt blandt ransomware-grupper, netop fordi det virker. Selv organisationer med solide backupsystemer, der kan gendanne krypterede filer uden at betale, står stadig over for truslen om offentlig eksponering af data, hvilket holder presset oppe, uanset hvor godt et offers katastrofegenopretningsplan holder.

Hvad betyder det for dig

Hvis du bor i Berlin, arbejder for byens forvaltning eller har haft nogen form for kontakt med de berørte statslige systemer, er denne lækage værd at være opmærksom på. Lækager af forvaltningsdata som denne indeholder ofte personlige oplysninger knyttet til ansatte og borgere, ikke kun interne bureaukratiske filer. Selv hvis du ikke blev direkte underrettet, er det rimeligt at antage, at følsomme oplysninger knyttet til offentlige tjenester kan cirkulere på det mørke web efter et brud af denne størrelsesorden.

Mere generelt er denne hændelse en påmindelse om, at ransomware-grupper i stigende grad betragter offentlige institutioner, ikke kun virksomheder, som førsteklasses mål. Sundhedssystemer og statslige organer besidder data, der er svære at erstatte og umulige at "af-lække", når de først er ude. Den virkelighed lægger pres på offentlige myndigheder for at investere i stærkere cybersikkerhedsforsvar, men det betyder også, at enkeltpersoner bør være opmærksomme på tegn på, at deres egne data er blevet eksponeret uden deres egen skyld.

Handling efter en statslig datalækage

Hvis du mener, at dine oplysninger kan have været en del af denne eller en lignende lækage, er der praktiske skridt, der er værd at tage. Overvåg dine konti og eventuelle offentligt udstedte identifikationsnumre for tegn på misbrug. Vær forsigtig med phishing-forsøg, der refererer til dine personlige oplysninger, da lækkede data ofte genbruges til opfølgende svindelnumre. Overvej at bruge identitetsovervågningstjenester, hvis de er tilgængelige for dig, og hold dig informeret gennem officiel kommunikation fra myndighederne om bruddets omfang og eventuel støtte til berørte borgere.

Rhysida-ransomware-sagen i Berlin illustrerer, hvordan et enkelt afslag på en løsesum kan udvikle sig til en massiv datalækagehændelse i flere faser. Efterhånden som disse hændelser fortsætter med at udfolde sig, forbliver det at holde sig informeret om, hvordan dine data kan være berørt, en af de mest effektive måder at beskytte sig selv i kølvandet.