Berliinin kieltäytyminen lunnaista johtaa massiiviseen tietovuotoon

Rhysida-kiristysohjelmaryhmä on toteuttanut uhkauksensa Berliinin hallintoa vastaan julkaisemalla lähes kuusi teratavua varastettuja tiedostoja pimeässä verkossa. Tietovuoto on viimeisin luku tapauksessa, joka on kehittynyt viikkojen ajan, ja se tarjoaa selvän kuvan siitä, miten kiristyshyökkäyskampanjat tyypillisesti etenevät, kun uhri kieltäytyy maksamasta.

Raportoinnin mukaan hyökkääjät noudattivat tuttua toimintamallia: tunkeutua verkkoon, varastaa suuria tietomääriä, uhata julkaisulla, vaatia maksua ja asettaa lähtölaskenta painostaakseen uhria suostumaan. Tässä tapauksessa Rhysida vaati raporttien mukaan 30 bitcoinia. Kuten vpn.social on aiemmin käsitellyt, kun Berliini kieltäytyi 2,3 miljoonan dollarin Rhysida-lunnaista 5,79 teratavun varkauden jälkeen paljastettiin ensimmäisen kerran, kaupungin virkamiehet kieltäytyivät neuvotteluista, mikä loi pohjan tietojen lopulliselle julkaisulle.

Uhkauksesta julkaisuun

Aikajana on tässä syytä ymmärtää, sillä se toistaa samaa kaavaa, jota kiristysohjelmaryhmät käyttävät toistuvasti "kaksinkertaiseen kiristykseen" perustuvissa taktiikoissa: ensin varastetaan dataa, sitten salataan tai uhataan vuotaa se erillisenä vipuvartena. Kun Rhysida ensimmäisen kerran väitti varastaneensa 5 teratavua Berliinin dataa, kaupungin hallinto ilmoitti julkisesti, ettei se maksa. Tämä kieltäytyminen näyttää käynnistäneen lähtölaskennan, joka lopulta päättyi ryhmän tiedostojen julkaisuun.

Vuodon laajuus, jota kuvataan lähes kuudeksi teratavuksi, viittaa siihen, että varastettu materiaali ulottuu paljon pidemmälle kuin kapeaan tietuejoukkoon. Tämän kokoiset hallinnon tiedostot sisältävät usein sekoituksen hallinnollisia asiakirjoja, sisäistä viestintää sekä työntekijöiden tai asukkaiden henkilötietoja. Kun tällaista materiaalia julkaistaan pimeässä verkossa, se tulee kenen tahansa saataville, joka haluaa sitä katsoa, mukaan lukien muut rikollistoimijat, jotka voivat käyttää sitä identiteettivarkauteen, tietojenkalastelukampanjoihin tai kohdennettuihin hyökkäyksiin tiedostoissa mainittuja henkilöitä vastaan.

Tämä ei ole myöskään yksittäinen tapaus Rhysidalle. Ryhmä on väittänyt tehneensä hyökkäyksiä Berliiniin muiden kohteiden, kuten Alumaxin, ohella, ja kiristysohjelmaryhmät ovat laajemmin pitäneet yllä tasaista hyökkäystahtia hallinto- ja infrastruktuurikohteita vastaan. Yhtä huomionarvoista on, että Saksa on raportoinut yhä suuremman osan kyberhyökkäyksistään johtuvan valtiollisiin toimijoihin liitetyistä tahoista puhtaasti taloudellisesti motivoituneiden rikollisten sijaan – kehitys, joka dokumentoitiin, kun ulkomaisten vakoojien todettiin olevan 37 prosentin takana Saksan kyberhyökkäyksistä. Riippumatta siitä, onko Rhysidalla valtiollisia yhteyksiä, laajempi uhkakuva saksalaisia julkisia laitoksia kohtaan on selvästi kiristymässä.

Miksi lunnaista kieltäytymisellä on silti seurauksia

Berliinin päätös olla maksamatta lunnaita noudattaa kyberturvallisuusvirastojen ja lainvalvontaviranomaisten antamia vakio-ohjeita, jotka yleensä suosittelevat olla maksamatta lunnaita, koska ne rahoittavat rikollista toimintaa eivätkä takaa, että varastettu data todella poistetaan. Mutta näihin ohjeisiin liittyy kova hinta: kieltäytyminen maksamisesta tarkoittaa usein sitä, että data julkaistaan joka tapauksessa.

Juuri näin näyttää tapahtuneen tässä tapauksessa. Rhysida-tietovuoto korostaa, että kun tiedot on viety, uhriorganisaatio menettää niiden hallinnan lähes kokonaan. Maksettiin lunnaita tai ei, perimmäinen altistuminen tapahtui jo sillä hetkellä, kun hyökkääjät kopioivat tiedostot Berliinin järjestelmistä. Julkinen vuoto on vain viimeinen, näkyvin vaihe tietomurrosta, joka alkoi paljon aiemmin.

Mitä tämä tarkoittaa sinulle

Jos olet Berliinin asukas tai julkinen työntekijä, tai jos olet tekemisissä kunnallisten palvelujen kanssa kärsineillä osastoilla, on kohtuullinen mahdollisuus, että osa henkilötiedoistasi oli varastetuissa tiedostoissa. Turvallisin oletus on, että kaikki kärsineen hallintoviraston hallussa ollut data on käsiteltävä mahdollisesti altistuneena.

Käytännön toimiin kuuluu taloustilien ja luottotietojen seuraaminen epätavallisen toiminnan varalta, valppaus tietojenkalasteluviestejä tai -puheluita kohtaan, joissa viitataan henkilötietoihin, jotka voisivat olla peräisin vuodetusta hallinnon tietueesta, sekä salasanojen vaihtaminen kaikkiin hallinnon palveluihin liittyviin tileihin, jos tunnistetiedot olivat osa altistunutta materiaalia. Monivaiheinen todennus on edelleen yksi tehokkaimmista puolustuskeinoista tilikaappausyrityksiä vastaan, jotka seuraavat tämän kaltaisia suuria tietovuotoja.

Keskeiset huomiot

Rhysida-kiristysohjelmavuoto Berliinin hallintoa vastaan on muistutus siitä, että kiristys ei lopu, kun lunnaita ei makseta – se usein vain siirtyy julkiseen altistumiseen. Kärsineisiin järjestelmiin liittyville asukkaille ja työntekijöille valppaus identiteettivarkauksia ja tietojenkalastelua vastaan on välittömin puolustuskeino. Julkisille laitoksille laajemmin tapaus lisää kasvavaa näyttöä siitä, että hallinnon verkot ovat edelleen korkean arvon kohteita ja että palautumissuunnitelmissa on otettava huomioon todellisuus, jonka mukaan varastettu data voi päätyä julkiseksi riippumatta siitä, mikä päätös maksamisesta tehdään.