Berlinska državna vlada potvrdila je da su hakeri povezani s ransomware grupom Rhysida ukrali 5,79 terabajta podataka iz mreža državnih agencija, a zatim zatražili 30 bitcoina kako bi spriječili njihovo objavljivanje. Gradski dužnosnici odbili su platiti, odluka koja je uslijedila samo nekoliko tjedana prije berlinskih državnih izbora. Podaci su navodno od tada stavljeni na aukciju na Rhysidinoj stranici za curenje podataka, što otvara nova pitanja o tome što se događa s informacijama građana kada vlada kaže ne iznudi.

Što se dogodilo u berlinskom ransomware napadu

Prema izvještajima o incidentu, napadači povezani s Rhysidom provalili su u najmanje dvije berlinske državne agencije i eksfiltrirali 5,79 TB podataka prije nego što su zatražili plaćanje. Berlinska vlada javno je izjavila da neće pregovarati s hakerima, stav koji se održao čak i kada se vremenska crta pomaknula od privatne prijetnje do javnog popisa na aukciji. Ovo nije prvi put da se Berlin suočava s upravo ovakvim obračunom. Gradski dužnosnici već su odbili zahtjev za otkupninom nakon što je iznuda potvrđena, a vladino odbijanje plaćanja navodno je uslijedilo prije nego što se Rhysidina aukcija uopće otvorila, slijed koji se razlikuje od načina na koji se većina ransomware slučajeva obično odvija, gdje javno priznanje obično slijedi nakon popisa na stranici za curenje podataka, a ne prethodi mu.

Vremenski raspored privukao je posebnu pozornost jer su provala i državni izbori bili razdvojeni samo nekoliko tjedana. Ransomware grupe ponekad vremenski usklađuju ili pojačavaju svoja otkrića oko politički osjetljivih trenutaka, znajući da se javne institucije suočavaju s dodatnim pritiskom da ili tiho plate ili upravljaju posljedicama u javnosti. Berlinska odluka da ostane pri svome, čak i pod tim pritiskom, u skladu je sa stavom koji je zauzeo kada je odbio otkupninu od 30 bitcoina nakon što je krađa prvi put objavljena.

Zašto odbijanje plaćanja ne poništava štetu za privatnost

Odbijanje plaćanja otkupnine općenito je ispravan potez s političkog stajališta. Plaćanje kriminalnim skupinama financira daljnje napade, ne nudi nikakvo jamstvo da su ukradeni podaci doista izbrisani i može označiti organizaciju kao ponovnu metu. No odluka da se ne plati ne poništava ono što se već dogodilo: podaci su napustili mrežu i, jednom kada su u Rhysidinim rukama, praktički su izvan berlinske kontrole.

S 5,79 TB navodno ukradenih iz državnih agencija, opseg onoga što je izloženo vjerojatno uključuje interne vladine zapise i, ovisno o tome koje su agencije bile pogođene, potencijalno osobne podatke povezane sa stanovnicima koji koriste te državne sustave. Ransomware grupe koje vode aukcije na stranicama za curenje podataka često prvo koriste prijetnju izlaganja kao polugu, a zatim provode djelomična ili potpuna objavljivanja kada zahtjevi nisu ispunjeni. Za svakoga čiji su podaci možda prošli kroz mreže berlinskih državnih agencija, praktični rizik nije samo pregovaranje o otkupnini, već sve što završi objavljeno ili prodano kao rezultat toga.

Širi obrazac u ransomware incidentima u javnom sektoru

Berlinski slučaj uklapa se u obrazac koji je postao poznat u provalama u javnom sektoru: napadači kradu podatke, prijete objavljivanjem, a vlade sve češće biraju javno odbijanje umjesto tihog nagodbe. Taj pomak odražava i jače politike ne-pregovaranja među javnim institucijama i prepoznavanje da plaćanje rijetko rješava temeljnu izloženost. Ipak, svaki novi incident naglašava trajni jaz između onoga što vlade mogu obećati (institucionalni integritet, nefinanciranje kriminalnih skupina) i onoga što zapravo mogu jamčiti pogođenim stanovnicima (da ukradeni osobni podaci neće kolati).

Što to znači za vas

Ako živite u Berlinu ili ste imali posla s pogođenim državnim agencijama, shvatite to kao razlog za veći oprez, a ne kao razlog za paniku. Curenja ransomware podataka koja uključuju vladine podatke mogu sadržavati identifikacijske informacije poput imena, adresa ili zapisa povezanih s javnim uslugama, čak i kada je primarna meta bila interni administrativni sustav, a ne baza podataka namijenjena građanima.

Praktični koraci koje vrijedi poduzeti:

  • Pratite službene komunikacije berlinske države za potvrdu točno kojih kategorija podataka su bile pogođene, umjesto da se oslanjate na posredne sažetke.
  • Budite na oprezu prema pokušajima phishinga koji spominju provalu, budući da se curenje vladinih podataka ponekad koristi kako bi naknadne prijevare izgledale uvjerljivije.
  • Razmislite o praćenju neobičnih aktivnosti na računu ako ste koristili usluge povezane s imenovanim agencijama, posebno u tjednima nakon aukcije na stranici za curenje podataka.
  • Izbjegavajte pretpostavku da odbijanje plaćanja znači da je situacija riješena. Rizik izloženosti podataka nastavlja se neovisno o odluci o otkupnini.

Zaključak

Berlinsko odbijanje plaćanja Rhysidinog zahtjeva za 30 bitcoina obranjiv je institucionalni stav, ali ne mijenja činjenicu da je 5,79 TB državnih podataka ukradeno i da možda sada kruži javnošću. Za stanovnike, pravi zaključak nije o samom pregovaranju o otkupnini. Riječ je o tome da ostanete na oprezu kako se curenje vladinih podataka može ponovno pojaviti u prijevarama ili pokušajima krađe identiteta dugo nakon što naslovi izblijede. Dok se ovaj berlinski ransomware napad nastavlja razvijati, praćenje službenih ažuriranja ostaje najpouzdaniji način da saznate je li vaša vlastita informacija bila dio onoga što je Rhysida uzela.