Een weigering die plaatsvond vóór de opening van de veiling
De meeste ransomwareverhalen volgen een bekend patroon: aanvallers stelen gegevens, ze kondigen een vermelding op een leksite aan, en pas daarna reageert het getroffen bedrijf of de organisatie publiekelijk. De deelstaatregering van Berlijn doorbrak dat patroon. Volgens berichtgeving over het incident gaven regerend burgemeester Kai Wegner en Iris Spranger, Berlijns senator voor Binnenlandse Zaken en Sport, om 15:39 uur Berlijnse tijd een gezamenlijke verklaring uit waarin ze weigerden losgeld te betalen, nog voordat de afpersers hun claim publiekelijk hadden geplaatst. Diezelfde middag zette de verantwoordelijke ransomware-bende wat zij omschrijft als 5,79 terabyte aan gegevens van Berlijnse overheidsinstanties op een veiling.
De volgorde doet ertoe. De functionarissen van Berlijn wachtten niet af hoe de afpersingspoging zich zou ontvouwen of of er publieke druk zou ontstaan. Ze maakten hun standpunt preventief kenbaar, waardoor ze effectief elke hefboom wegnamen die de aanvallers hadden kunnen hopen te verkrijgen door met een publieke onthulling te dreigen. Het is een klein maar veelzeggend detail in een zaak die al aandacht heeft getrokken vanwege het besluit van Berlijn om de ransomware-eis ronduit af te wijzen.
Wie Rhysida is en wat er is buitgemaakt
De groep achter de aanval is Rhysida, een ransomware-operatie die zich heeft gericht op overheids- en publieke sector-netwerken. In het geval van Berlijn werd de inbraak in de administratieve systemen van de stad niet onmiddellijk ontdekt en ingedamd. Berichtgeving over de tijdlijn van het incident geeft aan dat een gat van ongeveer zeven dagen tussen detectie en indamming Rhysida genoeg tijd gaf om de volledige 5,79 terabyte aan gegevens te exfiltreren voordat de verbinding uiteindelijk werd verbroken. Dat venster, tussen het opmerken van verdachte activiteit en het daadwerkelijk afsluiten ervan, is vaak het moment waarop ransomware-incidenten verschuiven van beheersbaar naar catastrofaal.
Zodra Berlijn duidelijk maakte niet te zullen betalen, voerde Rhysida haar dreiging uit. De groep zette de gestolen gegevens op een veiling, een tactiek die steeds vaker voorkomt bij ransomware-operators die niet langer uitsluitend vertrouwen op het versleutelen van systemen. In plaats daarvan stelen ze eerst gevoelige gegevens en dreigen ze deze te verkopen of publiceren als het slachtoffer weigert te betalen, een model dat vaak dubbele afpersing wordt genoemd. Het veilen van gestolen gegevens voegt een extra dimensie toe: het opent de deur voor elke koper, niet alleen het oorspronkelijke slachtoffer, waardoor de informatie mogelijk in meer handen terechtkomt dan bij een eenvoudige lekkage het geval zou zijn.
Waarom overheden steeds vaker nee zeggen
De weigering van Berlijn past in een bredere trend onder publieke instanties. Het betalen van losgeld biedt geen garantie dat gestolen gegevens daadwerkelijk worden verwijderd of dat aanvallers niet terugkomen voor een tweede uitbetaling. Het brengt ook het risico met zich mee dat andere criminele groepen het signaal krijgen dat een bepaalde stad of instantie bereid is te onderhandelen, wat toekomstige aanvallen kan uitlokken. Voor een deelstaatregering zijn er aanvullende overwegingen: publieke middelen die worden gebruikt om criminele organisaties te betalen, nodigen uit tot onderzoek, en dit kan in strijd zijn met nationale of regionale richtlijnen die losgeldbetalingen volledig ontmoedigen.
De timing van de weigering van Berlijn, die plaatsvond voordat de veilingaankondiging zelfs maar live ging, suggereert dat functionarissen hun standpunt al lang voordat de afpersingspoging publiek werd, hadden bepaald. Dat soort paraatheid, het hebben van een responsplan voordat een incident escaleert, is iets waarvan beveiligingsexperts organisaties van alle omvang al lang oproepen om het toe te passen.
Wat dit voor u betekent
De meeste lezers zullen nooit een overheidsnetwerk beheren, maar de zaak-Berlijn biedt toch praktische lessen. Als een dienst die u gebruikt, of het nu een gemeentelijke instantie, een zorgverlener of een bedrijf is, te maken krijgt met een ransomware-aanval, weerspiegelt de reactie van de organisatie vaak wat hier is gebeurd: een weigering om te betalen, gevolgd door gestolen gegevens die te koop of op een veiling verschijnen. Dat betekent dat meldingsbrieven, aanbiedingen voor kredietbewaking of meldingen van datalekken ruim na de daadwerkelijke diefstal kunnen arriveren, soms dagen of weken later, afhankelijk van hoe snel de indamming plaatsvond.
Als u interactie heeft met overheids- of institutionele systemen die door een soortgelijk datalek getroffen zouden kunnen worden, is het de moeite waard om regelmatig te controleren of uw gegevens in bekende datablootstellingen zijn verschenen, en om onverwachte meldingen via e-mail of telefoon met voorzichtigheid te behandelen totdat u ze via officiële kanalen kunt verifiëren.
Belangrijkste punten
Het besluit van Berlijn om Rhysida's losgeld-eis te weigeren voordat de groep zelfs maar haar veiling opende, benadrukt een verschuiving in hoe publieke instellingen met afpersingspogingen omgaan: beslis vroeg, communiceer duidelijk en wacht niet op de volgende zet van de aanvaller. Voor gewone lezers is de zaak een herinnering dat de nasleep van ransomware zich vaak in fasen voltrekt: detectie, vertragingen bij indamming, weigering en vervolgens een gegevensverkoop, en dat alert blijven op meldingen van datalekken die verband houden met elke organisatie waar u mee te maken heeft, een van de eenvoudigste manieren blijft om uzelf te beschermen. Houd officiële updates van de Berlijnse overheidsinstanties in de gaten als u enige connectie heeft met de getroffen systemen, en overweeg om uw persoonlijke gegevens proactief te monitoren wanneer een ransomware-incident een organisatie raakt waar u afhankelijk van bent.
