Cos'è successo: la fuga di 5,26 TB di Rhysida

Il gruppo ransomware Rhysida ha pubblicato 5,26 terabyte di dati rubati al governo statale di Berlino sul dark web. Il rilascio segue un copione ormai noto per il gruppo: infiltrarsi in una rete, esfiltrare grandi volumi di file sensibili, chiedere un riscatto e rendere tutto pubblico quando la vittima si rifiuta di pagare. Questa ultima divulgazione fa parte di una vicenda in corso che vpn.social ha seguito da vicino, inclusa la precedente pubblicazione da parte di Rhysida di quasi sei terabyte di dati berlinesi rubati e la decisione del gruppo di rilasciare i dati di Berlino dopo che la città ha rifiutato una richiesta di riscatto da 2 milioni di euro.

Le fughe di dati governativi di questa portata raramente sono eventi isolati. Tendono a svolgersi per fasi, con minacce iniziali, scadenze, rilascio parziali e infine la pubblicazione completa una volta che i negoziati falliscono. Il caso di Berlino sembra seguire esattamente questa traiettoria, culminando in questo rilascio di 5,26 TB.

Chi è Rhysida e perché prende di mira le istituzioni pubbliche

Rhysida è attivo dal 2023 e si è costruito una reputazione per aver preso di mira in particolare due settori: le organizzazioni sanitarie e le pubbliche amministrazioni. Tra le sue vittime note figurano il Centro Hospitalar Universitário de Lisboa, una importante rete ospedaliera in Portogallo, e persino il Vaticano. Questo schema non è casuale. Gli ospedali, i governi cittadini e le istituzioni religiose spesso operano su sistemi IT obsoleti, lavorano con budget limitati per la cybersicurezza e detengono enormi volumi di dati personali e amministrativi sensibili, esattamente il tipo di combinazione che li rende obiettivi attraenti per un gruppo alla ricerca di dati di alto valore con difese comparativamente più deboli.

Le vittime del settore pubblico affrontano anche un dilemma unico quando vengono colpite da un ransomware. Pagare un riscatto a un gruppo criminale solleva questioni legali ed etiche, e non vi è alcuna garanzia che il pagamento impedisca comunque la fuga o la rivendita dei dati. Rifiutarsi di pagare, d'altro canto, significa che i dati diventano pubblici, potenzialmente esponendo cittadini, dipendenti e operazioni governative a danni duraturi. Il governo di Berlino è stato precedentemente segnalato per aver rifiutato una richiesta di riscatto effettuata in Bitcoin prima di una scadenza prestabilita, una decisione che ha portato infine al rilascio dei dati anziché alla loro vendita o soppressione.

Il manuale della doppia estorsione

Rhysida opera utilizzando una tattica nota come doppia estorsione. Anziché limitarsi a cifrare i file e chiedere un pagamento per una chiave di decrittazione, il gruppo prima ruba una copia dei dati prima di bloccare i sistemi. Questo gli conferisce due forme di leva: le vittime sono pressate a pagare sia per riottenere l'accesso ai propri sistemi sia per impedire che i dati rubati vengano pubblicati o venduti. Se il riscatto non viene pagato, il gruppo passa all'azione rilasciando i dati pubblicamente, come è accaduto ripetutamente nel corso del caso di Berlino, incluso in un precedente rilascio descritto come dati del governo di Berlino trapelati dopo un rifiuto del riscatto.

La doppia estorsione è diventata sempre più comune tra i gruppi ransomware proprio perché funziona. Anche le organizzazioni con solidi sistemi di backup in grado di ripristinare i file cifrati senza pagare devono comunque affrontare la minaccia dell'esposizione pubblica dei dati, il che mantiene la pressione indipendentemente da quanto bene regga il piano di disaster recovery della vittima.

Cosa significa per te

Se vivi a Berlino, lavori per l'amministrazione cittadina o hai avuto qualsiasi interazione con i sistemi governativi colpiti, questa fuga di dati merita attenzione. Le fughe di dati della pubblica amministrazione come questa spesso includono registrazioni personali legate a dipendenti e residenti, non solo file burocratici interni. Anche se non sei stato direttamente notificato, è ragionevole presumere che informazioni sensibili legate ai servizi pubblici possano circolare sul dark web in seguito a una violazione di questa portata.

Più in generale, questo incidente è un promemoria del fatto che i gruppi ransomware considerano sempre più le istituzioni pubbliche, e non solo le aziende, come obiettivi privilegiati. I sistemi sanitari e gli enti governativi detengono dati difficili da sostituire e impossibili da "de-divulgare" una volta usciti. Questa realtà mette pressione sulle agenzie pubbliche affinché investano in difese di cybersicurezza più solide, ma significa anche che gli individui dovrebbero restare vigili per i segnali che i propri dati siano stati esposti senza alcuna loro colpa.

Agire dopo una fuga di dati governativi

Se ritieni che le tue informazioni possano essere state parte di questa o di una simile violazione, ci sono passi pratici che vale la pena intraprendere. Monitora i tuoi account e qualsiasi numero di identificazione rilasciato dal governo per segnali di uso improprio. Sii cauto nei confronti dei tentativi di phishing che fanno riferimento ai tuoi dati personali, poiché i dati trapelati vengono spesso riutilizzati per truffe successive. Considera l'utilizzo di servizi di monitoraggio dell'identità se sono disponibili per te, e resta informato attraverso le comunicazioni ufficiali del governo sulla portata della violazione e su qualsiasi supporto offerto ai residenti colpiti.

La vicenda del ransomware Rhysida a Berlino illustra come un singolo rifiuto del riscatto possa trasformarsi in un evento massiccio di esposizione dei dati in più fasi. Mentre questi incidenti continuano a verificarsi, rimanere informati su come i tuoi dati potrebbero essere colpiti rimane uno dei modi più efficaci per proteggerti nelle loro conseguenze.