Elutasítás, amely még az aukció megnyitása előtt megtörtént

A legtöbb zsarolóvírus-történet ismert sorrendet követ: a támadók adatokat lopnak, bejelentik a szivárogtatási oldalon való megjelenést, és csak ezután reagál nyilvánosan az áldozat szervezet. Berlin tartományi kormánya megtörte ezt a mintát. Az incidensről szóló beszámolók szerint Kai Wegner kormányzó polgármester és Iris Spranger, Berlin belügyi és sportügyi szenátora közös nyilatkozatban utasította el a váltságdíj kifizetését 15:39-kor berlini idő szerint, még azelőtt, hogy a zsarolók nyilvánosan közzétették volna a követelésüket. Ugyanazon a délutánon a felelős zsarolóvírus-csoport árverésre bocsátotta, amit szerinte 5,79 terabájtnyi berlini állami adatként ír le.

A sorrend számít. Berlin tisztviselői nem várták meg, hogyan alakul a zsarolási kísérlet, vagy hogy esetleg nyomás nehezedik-e rájuk a nyilvánosság részéről. Megelőző jelleggel tudatták álláspontjukat, ezzel gyakorlatilag megszüntették minden olyan nyomásgyakorlási eszközt, amelyre a támadók számíthattak volna azzal, hogy nyilvános leleplezéssel fenyegetőznek. Ez apró, de beszédes részlet egy olyan ügyben, amely már most is figyelmet kapott Berlin azon döntése miatt, hogy egyértelműen elutasította a zsarolóvírus-követelést.

Ki a Rhysida, és mi került a birtokukba

A támadás mögött a Rhysida áll, egy zsarolóvírus-művelet, amely kormányzati és közszférabeli hálózatokra specializálódott. Berlin esetében a város államigazgatási rendszereibe való behatolást nem kapták el és fékezték meg azonnal. Az incidens idővonaláról szóló beszámolók arra utalnak, hogy körülbelül hét napos késedelem az észlelés és a megfékezés között elegendő időt adott a Rhysidának a teljes 5,79 terabájtnyi adat kimentésére, mielőtt végül megszakították a kapcsolatot. Ez az ablak – a gyanús tevékenység észlelése és a tényleges leállítás között – gyakran az a pont, ahol a zsarolóvírus-incidensek a kezelhetőtől a katasztrófálisig fajulnak.

Amint Berlin egyértelművé tette, hogy nem fizet, a Rhysida végrehajtotta a fenyegetését. A csoport árverésre bocsátotta az ellopott adatokat, ez egyre gyakoribb taktika azok körében a zsarolóvírus-üzemeltetők körében, akik már nem kizárólag a rendszerek titkosítására hagyatkoznak. Ehelyett először érzékeny adatokat lopnak el, majd azzal fenyegetőznek, hogy eladják vagy nyilvánosságra hozzák azokat, ha az áldozat nem hajlandó fizetni – ezt a modellt gyakran kettős zsarolásnak nevezik. Az ellopott adatok árverése további csavart ad a dolognak: bármely vevőnek megnyitja az utat, nem csak az eredeti áldozatnak, ami azt jelenti, hogy az információ több kézbe kerülhet, mint egy egyszerű szivárogtatás esetén.

Miért mondanak egyre gyakrabban nemet a kormányok

Berlin elutasítása illeszkedik a közszféra szereplőinél megfigyelhető szélesebb tendenciába. A váltságdíj kifizetése nem garantálja, hogy az ellopott adatokat valóban törlik, vagy hogy a támadók nem térnek vissza egy második kifizetésért. Az is kockázatot jelent, hogy más bűnözői csoportoknak azt a jelet küldi, hogy egy adott város vagy hivatal hajlandó tárgyalni, ami potenciálisan jövőbeli támadásokra invitál. Egy tartományi kormány esetében további szempontok is felmerülnek: a bűnszervezetek kifizetésére fordított közpénzek vizsgálatot vonnak maguk után, és ez ütközhet a nemzeti vagy regionális iránymutatásokkal, amelyek összességében egyáltalán nem javasolják a váltságdíjfizetést.

Az elutasítás időzítése, amely még az árverési hirdetmény megjelenése előtt történt, arra utal, hogy a tisztviselők már jóval azelőtt eldöntötték álláspontjukat, hogy a zsarolási kísérlet nyilvánosságra került volna. Ez a fajta felkészültség – egy választerv, amely az incidens eszkalálódása előtt készen áll – olyan dolog, amelyet a biztonsági szakértők régóta javasolnak minden méretű szervezetnek.

Mit jelent ez Önnek

A legtöbb olvasó valószínűleg soha nem fog kormányzati hálózatot kezelni, de a berlini eset így is gyakorlati tanulságokkal szolgál. Ha egy általad használt szolgáltatás – legyen az városi hivatal, egészségügyi szolgáltató vagy vállalkozás – zsarolóvírus-támadást szenved el, a szervezet válasza gyakran tükrözi azt, ami itt történt: fizetés megtagadása, majd az ellopott adatok megjelenése eladásra vagy árverésre. Ez azt jelenti, hogy az értesítő levelek, a hitelképesség-figyelő ajánlatok vagy az adatszivárgásról szóló bejelentések jóval a tényleges lopás után érkezhetnek meg, néha napokkal vagy hetekkel később, attól függően, hogy milyen gyorsan sikerült megfékezni az incidenst.

Ha bármilyen kormányzati vagy intézményi rendszerrel érintkezik, amelyet hasonló adatszivárgás érinthet, érdemes időnként ellenőrizni, hogy megjelentek-e az Ön adatai ismert adatkitettségekben, és óvatosan kezelni minden váratlan értesítő e-mailt vagy hívást, amíg hivatalos csatornákon keresztül nem sikerül ellenőrizni azokat.

Főbb tanulságok

Berlin döntése, hogy elutasítja a Rhysida zsarolását, még azelőtt, hogy a csoport megnyitotta volna az aukcióját, rávilágít arra az elmozdulásra, ahogyan a közintézmények a zsarolási kísérleteket kezelik: döntsenek korán, kommunikáljanak világosan, és ne várjanak a támadó következő lépésére. A hétköznapi olvasók számára az eset arra emlékeztet, hogy a zsarolóvírusok következményei gyakran szakaszokban bontakoznak ki – észlelés, megfékezési késedelem, elutasítás, majd adatértékesítés –, és hogy az éberség a szivárgási értesítésekkel kapcsolatban, amelyek bármely olyan szervezetet érintenek, amellyel kapcsolatban áll, továbbra is az egyik legegyszerűbb módja az önvédelemnek. Figyelje a berlini állami hivatalok hivatalos közleményeit, ha bármilyen kapcsolatban áll az érintett rendszerekkel, és fontolja meg személyes adatainak proaktív figyelését, amikor egy zsarolóvírus-incidens egy Ön által használt szervezetet érint.