Kieltäytyminen ajoitettiin ennen huutokaupan avautumista
Useimmat kiristysohjelmatarinat noudattavat tuttua kaavaa: hyökkääjät varastavat tietoja, he julkaisevat vuotosivustoilmoituksen, ja vasta sitten uhriorganisaatio vastaa julkisesti. Berliinin osavaltiohallitus rikkoi tämän kaavan. Tapauksesta tehtyjen selvitysten mukaan pääministeri Kai Wegner ja Berliinin sisä- ja urheiluministeri Iris Spranger antoivat yhteisen lausunnon, jossa he kieltäytyivät maksamasta lunnaita kello 15.39 Berliinin aikaa, ennen kuin kiristäjät olivat edes julkaisseet vaatimustaan julkisesti. Samana iltapäivänä vastuussa ollut kiristysohjelmaryhmä laittoi huutokaupattavaksi 5,79 teratavua Berliinin osavaltion virastojen tietoja.
Ajoituksella on merkitystä. Berliinin viranomaiset eivät odottaneet nähdäkseen, miten kiristysyritys etenisi tai voisiko julkinen paine kasvaa. He ilmoittivat kantansa ennaltaehkäisevästi, mikä käytännössä poisti kaiken vipuvoiman, jota hyökkääjät olivat ehkä toivoneet saavansa uhkaamalla julkista paljastusta. Se on pieni mutta paljastava yksityiskohta tapauksessa, joka on jo herättänyt huomiota Berliinin päätöksestä hylätä kiristysohjelmavaatimus kokonaan.
Kuka on Rhysida ja mitä tietoja vietiin
Hyökkäyksen takana on Rhysida, kiristysohjelmaoperaatio, joka on kohdistanut iskuja hallituksen ja julkisen sektorin verkkoihin. Berliinin tapauksessa tunkeutuminen kaupungin osavaltion hallintojärjestelmiin ei jäänyt heti kiinni eikä sitä saatu rajattua. Tapauksen aikajanan selvitykset osoittavat, että noin seitsemän päivän viive havaitsemisen ja rajaamisen välillä antoi Rhysidalle riittävästi aikaa viedä kaikki 5,79 teratavua tietoja ennen kuin yhteys lopulta katkaistiin. Tämä ikkuna, epäilyttävän toiminnan havaitsemisen ja sen lopullisen sulkemisen välillä, on usein se hetki, jolloin kiristysohjelmatapaukset muuttuvat hallitusta katastrofaaliseksi.
Kun Berliini teki selväksi, ettei se maksa, Rhysida toteutti uhkauksensa. Ryhmä asetti varastetut tiedot huutokauppaan, mikä on yhä yleisempi taktiikka kiristysohjelmaoperaattoreiden keskuudessa, jotka eivät enää luota pelkästään järjestelmien salaamiseen. Sen sijaan he varastavat arkaluonteisia tietoja ensin ja uhkaavat myydä tai julkaista ne, jos uhri kieltäytyy maksamasta – tätä mallia kutsutaan usein kaksoiskiristykseksi. Varastettujen tietojen huutokauppaaminen lisää vielä yhden mutkan: se avaa oven mille tahansa ostajalle, ei vain alkuperäiselle uhrille, mikä voi saattaa tiedot useampiin käsiin kuin pelkkä vuoto.
Miksi hallitukset kieltäytyvät yhä useammin
Berliinin kieltäytyminen sopii laajempaan julkisen sektorin toimijoiden trendiin. Lunnaiden maksaminen ei takaa, että varastetut tiedot todella poistetaan tai että hyökkääjät eivät palaa vaatimaan toista maksua. Se myös riskillä viestittää muille rikollisryhmille, että tietty kaupunki tai virasto on valmis neuvottelemaan, mikä voi houkutella tulevia hyökkäyksiä. Osavaltiohallitukselle on myös muita näkökohtia: julkisten varojen käyttäminen rikollisjärjestöille herättää kysymyksiä, ja se voi olla ristiriidassa kansallisten tai alueellisten ohjeiden kanssa, jotka kehottavat luopumaan lunnasmaksuista kokonaan.
Berliinin kieltäytymisen ajoitus, joka annettiin ennen kuin huutokauppailmoitus oli edes julkaistu, viittaa siihen, että viranomaiset olivat vakiinnuttaneet kantansa jo hyvissä ajoin ennen kuin kiristysyritys tuli julkiseksi. Tällainen valmistautuminen, valmiina oleva toimintasuunnitelma ennen kuin tapaus eskaloituu, on asia, jota tietoturva-asiantuntijat ovat pitkään kehottaneet kaikenkokoisia organisaatioita omaksumaan.
Mitä tämä tarkoittaa sinulle
Useimmat lukijat eivät koskaan hallinnoi julkishallinnon verkkoa, mutta Berliinin tapaus tarjoaa silti käytännön opetuksia. Jos käyttämäsi palvelu, olipa kyseessä kaupungin virasto, terveydenhuollon tarjoaja tai yritys, joutuu kiristysohjelmahyökkäyksen kohteeksi, organisaation toiminta heijastaa usein sitä, mitä täällä tapahtui: kieltäytyminen maksamasta, jota seuraa varastettujen tietojen ilmestyminen myyntiin tai huutokauppaan. Tämä tarkoittaa, että ilmoituskirjeet, luottotietojen seurantatarjoukset tai tietomurtoilmoitukset voivat saapua vasta hyvän aikaa varsinaisen varkauden jälkeen, joskus päiviä tai viikkoja myöhemmin, riippuen siitä, kuinka nopeasti rajaaminen tapahtui.
Jos olet tekemisissä minkä tahansa hallituksen tai laitoksen järjestelmien kanssa, joita vastaava tietomurto voisi koskea, kannattaa säännöllisesti tarkistaa, ovatko tietosi ilmestyneet tunnettuihin tietovuotoihin, ja suhtautua varoen kaikkiin odottamattomiin ilmoitusviesteihin tai puheluihin, kunnes voit vahvistaa ne virallisten kanavien kautta.
Keskeiset opetukset
Berliinin päätös kieltäytyä Rhysidan lunnasvaatimuksesta ennen kuin ryhmä oli edes avannut huutokauppansa korostaa muutosta siinä, miten julkiset laitokset käsittelevät kiristysyrityksiä: päätä aikaisin, viesti selkeästi äläkä odota hyökkääjän seuraavaa siirtoa. Tavallisille lukijoille tapaus muistuttaa, että kiristysohjelmien seuraukset etenevät usein vaiheittain – havaitseminen, rajaamisen viiveet, kieltäytyminen ja sitten tietojen myynti – ja että valppaana pysyminen tietomurtoilmoitusten suhteen, jotka liittyvät mihin tahansa organisaatioon, jonka kanssa olet tekemisissä, on edelleen yksi yksinkertaisimmista tavoista suojautua. Pidä silmällä Berliinin osavaltion virastojen virallisia päivityksiä, jos sinulla on mitään yhteyttä vaarantuneisiin järjestelmiin, ja harkitse henkilötietojesi aktiivista seurantaa aina, kun kiristysohjelmatapaus koskettaa organisaatiota, johon luotat.
