De ransomwaregroep Rhysida heeft de verantwoordelijkheid opgeëist voor het exfiltreren van meer dan 5TB aan data uit de systemen van de Berlijnse deelstaatregering, waaronder persoonlijke informatie en inloggegevens. De reactie van de stad is gedurende de hele beproeving consistent geweest: ze zal niet toegeven aan het afpersingsverzoek, ongeacht wat de aanvallers dreigen te doen met de gestolen bestanden.

Deze nieuwste claim markeert een nieuw hoofdstuk in een incident dat zich over meerdere weken heeft afgespeeld, waarbij Berlijnse functionarissen herhaaldelijk standvastig zijn gebleven tegenover de eisen van de groep, zelfs terwijl de omvang van de vermeende inbreuk blijft groeien.

Wat Rhysida beweert

Volgens de ransomwaregroep overschrijdt de gestolen dataset de 5TB en omvat deze persoonlijke informatie samen met inloggegevens die mogelijk kunnen worden gebruikt om toegang te krijgen tot andere systemen of accounts. Ransomwaregroepen zoals Rhysida gebruiken dergelijke claims doorgaans als hefboom, door te dreigen gevoelige data te publiceren of te verkopen tenzij er losgeld wordt betaald. De groep heeft een staat van dienst in het targeten van overheids- en publieke sectororganisaties, en dit incident past in dat bredere patroon.

De situatie gaat terug tot het moment waarop Berlijn een gemeld losgeld van 30 Bitcoin weigerde nadat functionarissen hadden bevestigd dat hackers hadden ingebroken in netwerken van overheidsinstanties. Sindsdien heeft de stad het ransomwareverzoek botweg afgewezen, een standpunt dat niet is veranderd ondanks de escalerende claims van de aanvallers over de omvang en gevoeligheid van het gestolen materiaal.

Berlijns weigering om te betalen: een patroon dat voortduurt

Wat opvalt in deze zaak is de consistente publieke positie van Berlijn. In plaats van stil te onderhandelen of te betalen om het probleem te laten verdwijnen, hebben stadsfunctionarissen in elke fase gekozen voor transparantie en weigering. Deze aanpak werd voortgezet, zelfs nadat de aanvallers de gestolen data te koop hadden aangeboden op een veiling toen het losgeld niet werd betaald, een veelgebruikte escalatietactiek onder ransomware-operators wanneer hun initiële eisen niet worden ingewilligd.

Rhysida is niet de enige groep die recentelijk actief is tegen Berlijn-gerelateerde doelwitten. Afzonderlijke claims waarbij Rhysida en een andere groep genaamd Akira betrokken zijn, zijn ook naar voren gekomen, wat benadrukt hoe vaak doelwitten in de publieke sector en het bedrijfsleven worden geraakt door meerdere ransomware-operaties die parallel werken.

Beveiligingsexperts adviseren over het algemeen tegen het betalen van losgeld, omdat betaling niet garandeert dat data niet alsnog zal worden gelekt, en het verdere aanvallen op dezelfde of andere doelwitten kan aanmoedigen. Het standpunt van Berlijn sluit aan bij dit advies, ook al betekent dit dat inwoners mogelijk te maken krijgen met de gevolgen als de vermeende data uiteindelijk wordt gepubliceerd of verkocht.

Privacy-implicaties voor inwoners

De echte zorg hier is niet alleen het losgeld zelf, maar wat er gebeurt met de mensen wiens persoonlijke informatie mogelijk in de gestolen bestanden zit. Als inloggegevens en persoonlijke data uit overheidssystemen worden blootgesteld, kunnen getroffen personen te maken krijgen met een verhoogd risico op phishingpogingen, identiteitsdiefstal of pogingen tot accountovername met behulp van gelekt inloggegevens.

Overheidsdatalekken wegen bijzonder zwaar omdat de betrokken informatie vaak details omvat die verband houden met publieke diensten, belastinggegevens of gemeentelijke accounts, data die moeilijk te veranderen of te resetten is zoals je een gecompromitteerd wachtwoord zou resetten. Wanneer specifiek inloggegevens deel uitmaken van een inbreuk, lopen degenen die die inloggegevens elders hebben hergebruikt extra risico op blootstelling via andere accounts.

Wat dit voor jou betekent

Als je op welke manier dan ook te maken hebt met de systemen van de Berlijnse deelstaatregering, of je nu inwoner, medewerker of contractant bent, is het de moeite waard om dit incident te behandelen als een signaal om je eigen beveiligingshygiëne te herzien. Dit vereist geen paniek, maar wel een aantal praktische stappen.

Ten eerste: als je inloggegevens die aan Berlijnse staatsdiensten zijn gekoppeld elders hebt gebruikt, wijzig die wachtwoorden dan nu, vooral als je ze voor meerdere accounts hebt hergebruikt. Ten tweede: wees alert op phishingpogingen die verwijzen naar de inbreuk of beweren afkomstig te zijn van Berlijnse functionarissen die je vragen je gegevens te verifiëren. Aanvallers maken vaak misbruik van de publieke bekendheid van een inbreuk om mensen ertoe te verleiden vrijwillig meer data af te staan. Ten derde: overweeg om multi-factorauthenticatie in te schakelen waar het wordt aangeboden, omdat dit een extra beveiligingslaag toevoegt, zelfs als een wachtwoord is gecompromitteerd.

Geïnformeerd en beschermd blijven

Ransomware-incidenten waarbij overheidsdata wordt gestolen, worden helaas een regelmatige gebeurtenis, en de ervaring van Berlijn laat zien dat weigeren te betalen het verhaal niet snel beëindigt. De claims van groepen zoals Rhysida kunnen weken of maanden duren om op te lossen, en de werkelijke omvang van wat is gestolen wordt vaak pas veel later bevestigd, als dat al ooit gebeurt.

Voor nu is het nuttigste wat inwoners en iedereen die verbonden is met de Berlijnse overheidsystemen kunnen doen, alert te blijven, te letten op ongebruikelijke accountactiviteit en onverwachte communicatie die naar deze inbreuk verwijst met voorzichtigheid te behandelen. Naarmate de situatie zich ontwikkelt, zal het in de gaten houden van officiële verklaringen van de Berlijnse autoriteiten de meest betrouwbare manier zijn om precies te begrijpen welke data is getroffen en welke stappen, indien van toepassing, worden ondernomen om de getroffenen op de hoogte te stellen.