Ransomware Rhysida Menyerang Berlin dengan Tuntutan 30 Bitcoin
Klaim ransomware baru yang terkait dengan Berlin telah membawa grup Rhysida kembali menjadi sorotan. Menurut laporan tentang insiden tersebut, Rhysida menuntut 30 bitcoin, yang nilainya jauh di atas satu juta dolar pada kurs saat ini, sebagai imbalan untuk tidak membocorkan 5,79TB data yang diklaim grup tersebut telah diperoleh. Itu adalah volume informasi yang sangat besar, dan ini memunculkan pertanyaan yang sama yang dihadapi setiap kasus ransomware besar: apa yang terjadi pada orang-orang yang data pribadinya berada di dalam file curian tersebut?
Rhysida bukanlah nama baru di dunia ransomware. Grup ini beroperasi dengan model ransomware-as-a-service, yang berarti mereka menyewakan malware dan infrastruktur mereka kepada afiliasi yang melakukan peretasan aktual. Struktur ini menjadikan Rhysida salah satu operasi pemerasan paling produktif yang dilacak oleh badan keamanan siber pemerintah, dan ini menjelaskan mengapa daftar korban grup ini terus bertambah di berbagai sektor dan wilayah. Sebagaimana tercakup dalam laporan kami tentang klaim Rhysida dan Akira terhadap Berlin dan Alumax, Rhysida jarang beroperasi secara terisolasi. Beberapa kru ransomware sering aktif secara bersamaan, kadang-kadang menargetkan wilayah atau industri yang sama dalam hitungan hari satu sama lain.
Mengapa Volume Data Lebih Penting daripada Tebusan
Berita utama tentang serangan ransomware cenderung berfokus pada angka dolar dari tuntutan tebusan, tetapi angka yang lebih penting di sini adalah 5,79TB. Jumlah data sebesar itu biasanya mencakup jauh lebih banyak daripada sekadar catatan bisnis internal. Tergantung pada sistem apa yang dikompromikan, ini bisa berarti catatan karyawan, data penduduk atau warga negara, dokumen keuangan, kontrak, dan komunikasi, yang semuanya dapat berisi informasi pribadi milik orang-orang yang tidak memiliki peran dalam keputusan keamanan yang menyebabkan kebocoran tersebut.
Ini adalah risiko privasi inti dari ransomware pemerasan ganda seperti milik Rhysida. Grup ini tidak hanya mengenkripsi file untuk mengganggu operasi. Mereka mencuri salinan data terlebih dahulu, kemudian mengancam akan memublikasikannya secara publik jika tebusan tidak dibayar. Bahkan jika organisasi korban memiliki cadangan yang kuat dan dapat memulihkan sistemnya tanpa membayar, data yang dicuri masih bisa bocor atau dijual. Itu berarti paparan privasi ada secara independen dari apakah tebusan dibayar atau tidak.
Badan pemerintah yang melacak Rhysida telah menerbitkan indikator kompromi dan rincian teknik untuk membantu pembela mendeteksi aktivitas grup ini sebelum meningkat menjadi enkripsi dan pencurian data. Advisory ini menjelaskan pola yang umumnya diandalkan oleh afiliasi Rhysida, termasuk mengeksploitasi titik akses jarak jauh yang terekspos dan menggunakan alat administratif yang sah untuk bergerak melalui jaringan secara diam-diam sebelum menyebarkan ransomware. Nilai dari indikator ini adalah bahwa mereka memberi tim keamanan kesempatan untuk menangkap intrusi pada tahap awal, jauh sebelum terabyte data sudah meninggalkan jaringan.
Apa Artinya Ini Bagi Anda
Jika Anda bukan administrator TI, Anda mungkin menganggap serangan ransomware pada pemerintah kota atau perusahaan tidak ada hubungannya dengan Anda. Itu jarang benar. Jika sistem Berlin menyimpan data apa pun yang terkait dengan penduduk, karyawan, kontraktor, atau organisasi mitra, informasi itu sekarang bisa berisiko terekspos terlepas dari apakah pejabat bernegosiasi dengan Rhysida.
Saran praktis bagi siapa pun yang berpotensi terkena dampak kebocoran seperti ini adalah sama terlepas dari grup ransomware mana yang terlibat. Perhatikan pemberitahuan resmi dari organisasi yang terlibat, karena undang-undang pengungkapan pelanggaran di sebagian besar yurisdiksi mengharuskan pihak yang terkena dampak untuk diberi tahu. Perlakukan email, panggilan, atau teks tak terduga yang merujuk pada insiden tersebut dengan kecurigaan, karena penyerang dan penipu oportunistik sering menggunakan data bocor atau berita kebocoran publik untuk menjalankan kampanye phishing lanjutan. Jika Anda memiliki akun atau catatan dengan organisasi yang terkena dampak, pertimbangkan untuk mengganti kata sandi, mengaktifkan otentikasi multi-faktor jika tersedia, dan memantau tanda-tanda pencurian identitas seperti akun baru yang dibuka atas nama Anda.
Mengurangi Paparan Anda terhadap Dampak Ransomware
Organisasi memikul tanggung jawab utama untuk bertahan terhadap grup seperti Rhysida, dan indikator kompromi yang diterbitkan ada khusus untuk membantu tim keamanan menutup celah yang dieksploitasi afiliasi ini. Tetapi individu juga bukan penonton yang tidak berdaya. Berhati-hati tentang di mana Anda membagikan data pribadi, menggunakan kata sandi unik di berbagai layanan, dan memantau aktivitas kredit atau akun setelah kebocoran yang diketahui dapat secara berarti mengurangi kerusakan ketika insiden seperti kasus Berlin akhirnya menyentuh informasi Anda sendiri.
Grup ransomware seperti Rhysida berkembang pesat dengan kecepatan dan skala, menyerang banyak target dan berharap cukup banyak dari mereka yang membayar untuk membuat operasi itu menguntungkan. Tetap mendapat informasi tentang kampanye aktif, memahami apa arti tuntutan pemerasan ganda sebenarnya bagi data yang dicuri, dan mengambil langkah perlindungan dasar setelah pemberitahuan kebocoran adalah cara paling realistis untuk membatasi paparan Anda. Saat aktivitas Rhysida berlanjut hingga 2026, perkirakan lebih banyak klaim seperti yang ditujukan kepada Berlin, dan perkirakan pertanyaan privasi yang sama akan mengikuti setiap klaim tersebut.
