Un rifiuto programmato prima dell'apertura dell'asta

La maggior parte delle storie di ransomware segue una sequenza familiare: gli attaccanti rubano i dati, annunciano una lista sul sito di leak, e solo allora l'organizzazione vittima risponde pubblicamente. Il governo statale di Berlino ha infranto questo schema. Secondo le notizie sull'incidente, il sindaco governatore Kai Wegner e Iris Spranger, senatrice di Berlino per gli interni e lo sport, hanno rilasciato una dichiarazione congiunta rifiutando di pagare il riscatto alle 15:39 ora di Berlino, prima ancora che gli estorsori avessero pubblicato pubblicamente la loro richiesta. Quello stesso pomeriggio, il gruppo ransomware responsabile ha messo all'asta quelli che descrive come 5,79 terabyte di dati delle agenzie statali di Berlino.

La sequenza temporale è importante. I funzionari di Berlino non hanno aspettato di vedere come si sarebbe sviluppato il tentativo di estorsione o se la pressione pubblica sarebbe aumentata. Hanno reso nota la loro posizione in via preventiva, eliminando di fatto qualsiasi leva che gli attaccanti avrebbero potuto sperare di ottenere minacciando una rivelazione pubblica. È un dettaglio piccolo ma significativo in un caso che ha già attirato attenzione per la decisione di Berlino di respingere apertamente la richiesta di riscatto.

Chi è Rhysida e cosa è stato rubato

Il gruppo dietro l'attacco è Rhysida, un'operazione ransomware che ha preso di mira reti governative e del settore pubblico. Nel caso di Berlino, l'intrusione nei sistemi amministrativi statali della città non è stata individuata e contenuta immediatamente. Le notizie sulla cronologia dell'incidente indicano che un intervallo di circa sette giorni tra l'individuazione e il contenimento ha dato a Rhysida abbastanza tempo per esfiltrare l'intero ammontare di 5,79 terabyte di dati prima che la connessione venisse infine interrotta. Questa finestra, tra l'individuazione di attività sospette e la loro effettiva interruzione, è spesso il punto in cui gli incidenti ransomware passano da contenuti a catastrofici.

Una volta che Berlino ha chiarito che non avrebbe pagato, Rhysida ha portato a termine la sua minaccia. Il gruppo ha messo all'asta i dati rubati, una tattica sempre più comune tra gli operatori di ransomware che non si affidano più soltanto alla crittografia dei sistemi. Invece, rubano prima i dati sensibili e minacciano di venderli o pubblicarli se la vittima rifiuta di pagare, un modello spesso chiamato doppia estorsione. Mettere all'asta i dati rubati aggiunge un'ulteriore complicazione: apre la porta a qualsiasi acquirente, non solo alla vittima originale, mettendo potenzialmente le informazioni in più mani rispetto a un semplice leak.

Perché i governi stanno sempre più dicendo di no

Il rifiuto di Berlino si inserisce in una tendenza più ampia tra gli enti del settore pubblico. Pagare i riscatti non offre alcuna garanzia che i dati rubati vengano effettivamente cancellati o che gli attaccanti non tornino per un secondo pagamento. Inoltre, rischia di segnalare ad altri gruppi criminali che una determinata città o agenzia è disposta a negoziare, invitando potenzialmente a futuri attacchi. Per un governo statale, ci sono considerazioni aggiuntive: i fondi pubblici usati per pagare imprese criminali attirano il controllo, e farlo può entrare in conflitto con linee guida nazionali o regionali che sconsigliano del tutto i pagamenti di riscatto.

La tempistica del rifiuto di Berlino, emesso prima ancora che la lista dell'asta andasse online, suggerisce che i funzionari avevano già definito la loro posizione ben prima che il tentativo di estorsione diventasse pubblico. Quel tipo di preparazione, avere un piano di risposta pronto prima che un incidente degeneri, è qualcosa che gli esperti di sicurezza hanno a lungo raccomandato a organizzazioni di tutte le dimensioni.

Cosa significa per te

La maggior parte dei lettori non gestirà mai una rete governativa, ma il caso di Berlino offre comunque lezioni pratiche. Se un servizio che utilizzi, che sia un'agenzia cittadina, un fornitore sanitario o un'azienda, subisce un attacco ransomware, la risposta dell'organizzazione spesso rispecchia ciò che è accaduto qui: un rifiuto di pagare, seguito dalla comparsa dei dati rubati in vendita o all'asta. Ciò significa che le lettere di notifica, le offerte di monitoraggio del credito o le divulgazioni di violazione potrebbero arrivare ben dopo il furto effettivo, a volte giorni o settimane dopo, a seconda della rapidità con cui è avvenuto il contenimento.

Se interagisci con sistemi governativi o istituzionali che potrebbero essere colpiti da una violazione simile, vale la pena controllare periodicamente se le tue informazioni sono comparse in esposizioni di dati note e trattare con cautela qualsiasi email o chiamata di notifica inaspettata finché non puoi verificarle attraverso canali ufficiali.

Punti chiave

La decisione di Berlino di rifiutare la richiesta di riscatto di Rhysida prima ancora che il gruppo aprisse la sua asta sottolinea un cambiamento nel modo in cui le istituzioni pubbliche gestiscono i tentativi di estorsione: decidere presto, comunicare chiaramente e non aspettare la prossima mossa dell'attaccante. Per i lettori comuni, il caso è un promemoria che le conseguenze del ransomware spesso si svolgono in fasi, individuazione, ritardi nel contenimento, rifiuto e poi vendita dei dati, e che rimanere vigili sulle notifiche di violazione legate a qualsiasi organizzazione con cui hai a che fare rimane uno dei modi più semplici per proteggerti. Tieni d'occhio gli aggiornamenti ufficiali delle agenzie statali di Berlino se hai qualche collegamento con i sistemi colpiti e considera di monitorare proattivamente le tue informazioni personali ogni volta che un incidente ransomware tocca un'organizzazione su cui fai affidamento.