Wat er gebeurde bij het Berlijnse ransomware-incident

De Berlijnse Rhysida-ransomwareaanval is het nieuwste voorbeeld dat publieke instellingen een primair doelwit zijn voor afpersingsbendes, en dat betalen door veel overheden niet langer als een haalbare optie wordt beschouwd. De deelstaatregering van Berlijn bevestigde dat aanvallers haar netwerk binnendrongen en gegevens stalen, en functionarissen hebben publiekelijk verklaard dat zij het losgeld dat werd geëist om die informatie privé te houden, niet zullen betalen.

De groep achter de aanval, Rhysida, is een ransomware- en afpersingsoperatie waarvan wordt vermoed dat ze banden heeft met Rusland. Volgens berichtgeving stelde Rhysida een vrijdagdeadline aan de Berlijnse regering en dreigde het gestolen materiaal vrij te geven als het losgeld onbetaald bleef. De aanvallers beweren 5,79 TB aan gegevens van het Berlijnse deelstaatnetwerk te hebben geëxfiltreerd, een volume dat groot genoeg is om mogelijk een breed scala aan administratieve, personeels- en burgergerelateerde dossiers te bevatten. Voor een diepere uitsplitsing van het incident zelf geeft de oorspronkelijke berichtgeving over Berlijns afwijzing van de Rhysida-losgeldeis een gedetailleerder overzicht van de tijdlijn en de omvang van de diefstal.

Waarom overheden weigeren losgeld te betalen voor ransomware-eisen

Berlijns besluit past in een breder patroon dat zich heeft voorgedaan onder slachtoffers van ransomware in de publieke sector. Overheidsinstanties weigeren steeds vaker te onderhandelen met afpersingsgroepen, zelfs wanneer de hoeveelheid gestolen gegevens aanzienlijk is, en zelfs wanneer aanvallers harde deadlines stellen die zijn ontworpen om een snelle uitbetaling af te dwingen.

Er zijn praktische redenen achter dit standpunt. Het betalen van losgeld garandeert niet dat gestolen gegevens worden verwijderd of vertrouwelijk blijven. Afpersingsgroepen zoals Rhysida opereren buiten elke afdwingbare overeenkomst, en organisaties die aan één eis voldoen, kunnen herhaalde doelwitten worden. Publieke instellingen worden ook geconfronteerd met extra toezicht: het gebruiken van belastinggeld om criminele groepen te betalen, waarvan sommige vermoedelijk banden hebben met staten of georganiseerde misdaad, roept juridische en politieke complicaties op die particuliere bedrijven niet altijd op dezelfde manier tegenkomen.

Het resultaat is dat wanneer overheidsnetwerken worden geschonden, burgers wier gegevens in die systemen staan vaak niet kunnen vertrouwen op een losgeldbetaling om hun informatie te beschermen. Of Berlijn nu betaalt of niet, het feit dat 5,79 TB al uit het netwerk is gekopieerd, betekent dat de blootstelling in praktische zin al heeft plaatsgevonden.

Wat een datalek van 5,79 TB betekent voor getroffen burgers

Een lek van deze omvang is belangrijk, niet vanwege het getal alleen, maar vanwege wat overheidsnetwerken doorgaans opslaan: identificatiedocumenten, belasting- en uitkeringsgegevens, personeelsdossiers en correspondentie tussen instanties en inwoners. Wanneer een ransomwaregroep beweert gegevens van deze schaal van een deelstaatregering in handen te hebben, is de veiligste aanname voor iedereen die verbonden is met dat rechtsgebied dat sommige persoonlijke informatie mogelijk is opgenomen, ongeacht of deze ooit openbaar wordt gemaakt.

Dit is een nuttig denkmodel voor elke inwoner die getroffen is door een lek in de publieke sector: behandel de mogelijkheid van blootstelling als reëel vanaf het moment dat een aanval wordt bevestigd, niet vanaf het moment dat gestolen bestanden daadwerkelijk online verschijnen. Ransomwaregroepen publiceren soms monsters om hun beweringen te bewijzen, lekken soms volledige datasets nadat een deadline is verstreken, en laten soms helemaal niets los als ze een andere manier vinden om te profiteren. Wachten op bevestiging voordat u beschermende maatregelen neemt, verspilt kostbare tijd.

Dit patroon is niet uniek voor Berlijn. Ransomwaregroepen hebben herhaaldelijk publieke infrastructuur en nutsbedrijven aangevallen, waaronder het geval van Qilin-ransomware die Grayson Rural Electric Cooperative treft, een nutsbedrijf dat klanten in verschillende provincies bedient. Deze incidenten tonen aan dat aanvallen op overheids- en publieke infrastructuur een terugkerend risico vormen, geen geïsoleerde gebeurtenis.

Hoe individuen hun gegevens kunnen beschermen wanneer publieke instellingen worden geschonden

Burgers kunnen over het algemeen niet controleren of een overheidsnetwerk wordt geschonden, maar er zijn stappen die het persoonlijke risico verminderen nadat dit wel is gebeurd:

  • Houd officiële meldingen van datalekken van uw lokale of deelstaatregering in de gaten en volg eventuele richtlijnen die zij geven over getroffen diensten.
  • Controleer kredietrapporten en financiële overzichten vaker als u gebruikmaakt van overheidsdiensten die financiële of uitkeringsgegevens opslaan.
  • Gebruik unieke, sterke wachtwoorden voor overheidsportalen of accounts voor burgerdiensten en schakel multi-factorauthenticatie in waar deze wordt aangeboden.
  • Wees voorzichtig met phishingpogingen die verwijzen naar het lek, aangezien aanvallers soms nieuws over een lek gebruiken om overtuigende frauduleuze berichten op te stellen.
  • Overweeg uw krediet te bevriezen als u vermoedt dat zeer gevoelige identificatiegegevens in de gestolen bestanden zijn opgenomen.

Wat dit voor u betekent

De Berlijnse Rhysida-ransomwareaanval is een casestudy van een trend die waarschijnlijk zal voortduren: publieke instellingen die standvastig blijven tegen afpersingseisen, terwijl het onderliggende risico van gegevensblootstelling voor burgers ongeacht de uitkomst blijft bestaan. Weigeren te betalen is vaak de juiste keuze vanuit beleidsoogpunt, maar het wist niet het feit uit dat gevoelige dossiers mogelijk al in handen van criminelen zijn. Voor inwoners die verbonden zijn met een geschonden overheidssysteem, is de praktische reactie hetzelfde, of er nu uiteindelijk losgeld wordt betaald of niet: ga uit van enige blootstelling, controleer accounts en verscherp persoonlijke beveiligingspraktijken met betrekking tot overheidsdiensten.

Nu ransomwaregroepen zich blijven richten op publieke infrastructuur, van deelstaatregeringen tot nutscoöperaties, is geïnformeerd blijven over deze incidenten en het beoordelen van uw eigen risico op gegevensblootstelling een van de weinige concrete acties die individuen kunnen ondernemen. Lezers die de volledige details over het Berlijnse incident willen, kunnen de hierboven gelinkte oorspronkelijke berichtgeving bekijken, en wie geïnteresseerd is in hoe ransomware essentiële diensten beïnvloedt, moet ook kijken naar de zaak van Grayson Rural Electric Cooperative als een ander voorbeeld van publieke infrastructuur onder aanval.