Berlinovo kašnjenje od 7 dana omogućilo je Rhysidi da ukrade 5,79 TB podataka

Tjedan dana slijepe pjege pretvorilo se u podatkovnu katastrofu

Berlinski ransomware napad bacio je svjetlo na jedan od najizbježivijih propusta u odgovoru na incidente: jaz između otkrivanja proboja i njegovog stvarnog zaustavljanja. Prema izvještavanju o incidentu, ransomware skupina Rhysida probila se u berlinsku vladinu mrežu i sada tvrdi da je ukrala 5,79 terabajta podataka. Ta količina podataka navodno uključuje datoteke povezane s ranjivostima u opskrbi vodom i lozinke u čistom tekstu — vrstu informacija koje, u pogrešnim rukama, mogu ugroziti mnogo više od administrativne papirologije.

Ono što ovaj slučaj čini posebno zapaženim nije samo količina podataka ili meta. Riječ je o vremenskom okviru. Istražitelji su otkrili da je otprilike sedam dana prošlo između otkrivanja upada i stvarnog izoliranja berlinske mreže. U odgovoru na ransomware, taj prozor je mjesto gdje se događa prava šteta. Napadači koji su već stekli uporište koriste svaki dodatni sat za bočno kretanje, lociranje visokovrijednih datoteka i tiho izvlačenje podataka prije nego što branitelji uspiju zaključati vrata.

Berlinski vladajući gradonačelnik potvrdio je da grad neće platiti otkupninu od 30 bitcoina koju su zahtijevali napadači. Ta odluka u skladu je s dugogodišnjim smjernicama agencija za kibernetičku sigurnost, koje općenito odvraćaju od plaćanja otkupnine jer ona financira daljnju kriminalnu aktivnost i ne nudi jamstvo da ukradeni podaci neće biti procurili ili prodani.

Zašto je sedmodnevni jaz u izolaciji toliko važan

Otkrivanje ransomware upada samo je pola bitke. Druga polovica, i moglo bi se reći hitnija polovica, jest suzbijanje. Kašnjenje od sedam dana između otkrivanja i izolacije daje uljezu poput Rhyside dovoljno vremena da mapira mrežu, identificira osjetljiva spremišta i pripremi velike prijenose podataka prije nego što itko povuče utikač.

Ovo je ponavljajuća tema u velikim probojima: ranjivost koja je napadačima omogućila ulaz često je manje štetna od sporog odgovora koji im je omogućio da ostanu. To odražava širi obrazac viđen u svijetu sigurnosti, gdje nezakrpani ili loše nadzirani sustavi stvaraju prozore prilika koji traju mnogo dulje nego što bi trebali. Čak i izvan vladinih mreža, ova dinamika redovito se pojavljuje. Kada je Microsoft zakrpao rekordnih 570 grešaka u jednom ciklusu ažuriranja, to je bio podsjetnik da ogroman opseg ranjivosti softvera čini brzo otkrivanje i još brže suzbijanje ključnim, a ne opcionalnim, za svaku organizaciju koja drži osjetljive podatke.

Za vladinu mrežu odgovornu za usluge povezane s javnom infrastrukturom, tjedan dana jaza nije samo IT kvar. To je razdoblje tijekom kojeg su kritični sustavi, potencijalno uključujući one povezane s operacijama opskrbe vodom, bili izloženi bez jasne slike o tome čemu se pristupalo ili što je uklonjeno.

Posljedice za privatnost stanovnika Berlina

Kategorije podataka za koje Rhysida tvrdi da ih je uzela izazivaju stvarnu zabrinutost za privatnost. Lozinke u čistom tekstu, što znači podaci za prijavu koji nisu bili šifrirani ili hashirani, posebno su opasni jer se mogu odmah ponovno upotrijebiti ako odgovaraju računima drugdje. S obzirom na to koliko često ljudi ponavljaju lozinke na osobnim i poslovnim računima, krađa lozinki u čistom tekstu iz vladinog sustava može se proširiti na račune e-pošte, bankovne prijave i druge osobne usluge koje koriste zaposlenici ili stanovnici.

Zatim tu su podaci o ranjivostima u opskrbi vodom. Pojedinosti o slabostima u infrastrukturnim sustavima osjetljive su ne zato što izravno otkrivaju osobne informacije, već zato što ih drugi zlonamjerni akteri mogu iskoristiti za ometanje javnih usluga. Kombiniranje infrastrukturnih podataka s ukradenim lozinkama stvara scenarij u kojem isti proboj istovremeno zadire u osobnu privatnost i brige o javnoj sigurnosti.

Odbijanje berlinskih dužnosnika da plate otkupninu razuman je stav iz političke perspektive, ali također znači da je sudbina ukradenih podataka sada uglavnom izvan kontrole grada. Rhysida, poput mnogih ransomware skupina, ima povijest prijetnji da će objaviti ili prodati podatke kada zahtjevi ne budu ispunjeni.

Što to znači za vas

Ako živite u Berlinu ili koristite gradske vladine usluge, ovaj proboj podsjetnik je da promijenite sve lozinke koje ste možda koristili na gradskim portalima, posebno ako ste tu lozinku ponovno upotrijebili negdje drugdje. Pazite na phishing pokušaje koji se pozivaju na proboj ili tvrde da dolaze od gradskih dužnosnika, jer napadači često iskorištavaju javne vijesti o probojima kako bi prevarili žrtve da kliknu na zlonamjerne poveznice.

Šire gledano, ovaj incident korisna je studija slučaja za svaku organizaciju, javnu ili privatnu. Lekcija nije samo o ransomwareu. Riječ je o brzini odgovora. Otkrivanje bez brze izolacije daje napadačima vrijeme, a vrijeme je upravo ono što pretvara suzbijeni incident u masovnu krađu podataka.

Ključne poruke

• Rhysida ransomware tvrdi da je izvukla 5,79 TB podataka iz berlinske vladine mreže, uključujući datoteke o ranjivostima u opskrbi vodom i lozinke u čistom tekstu.
• Sedmodnevni jaz između otkrivanja i izolacije mreže dao je napadačima dodatno vrijeme za lociranje i krađu osjetljivih datoteka.
• Berlinski vladajući gradonačelnik odbio je platiti otkupninu od 30 bitcoina, u skladu sa standardnim smjernicama za kibernetičku sigurnost.
• Stanovnici i gradski zaposlenici trebali bi ažurirati ponovno korištene lozinke i ostati oprezni na phishing pokušaje koji se pozivaju na ovaj proboj.
• Organizacije svih veličina trebale bi tretirati brzinu od otkrivanja do izolacije kao kritičnu sigurnosnu metriku, a ne kao naknadnu misao.

Berlinski ransomware napad naglašava tešku istinu u kibernetičkoj sigurnosti: uočiti prijetnju korisno je samo ako možete djelovati dovoljno brzo da to ima smisla. Kako se pojavljuje sve više detalja o opsegu ukradenih podataka, incident će vjerojatno poslužiti kao referentna točka za to koliko brzo mreže kritične infrastrukture moraju djelovati nakon što se upad otkrije.