Rhysidalekt 5,79 TB aan Berlijnse gegevens na weigering losgeld

De deelstaatregering van Berlijn heeft bevestigd dat hackers die gelinkt zijn aan de ransomwaregroep Rhysida 5,79 terabyte aan gegevens van netwerken van overheidsinstanties hebben gestolen en vervolgens 30 bitcoin eisten om publicatie te voorkomen. Stadsfunctionarissen weigerden te betalen, een beslissing die slechts enkele weken voor de Berlijnse deelstaatverkiezingen kwam. De gegevens zouden inmiddels te koop zijn aangeboden op het lekplatform van Rhysida, wat nieuwe vragen oproept over wat er met de informatie van burgers gebeurt zodra een overheid nee zegt tegen afpersing.

Wat er gebeurde bij de ransomware-aanval in Berlijn

Volgens berichtgeving over het incident hebben aanvallers die aan Rhysida zijn gelinkt, ten minste twee Berlijnse overheidsinstanties binnengedrongen en 5,79 TB aan gegevens buitgemaakt voordat ze betaling eisten. De Berlijnse overheid verklaarde publiekelijk niet te zullen onderhandelen met de hackers, een standpunt dat standhield zelfs toen de tijdlijn verschoof van een privédreiging naar een openbare veilinglijst. Dit is niet de eerste keer dat Berlijn met deze exacte patstelling wordt geconfronteerd. Stadsfunctionarissen hadden de losgeldeis van ransomware al geweigerd zodra afpersing was bevestigd, en de weigering van de overheid om te betalen kwam naar verluidt voordat de veiling van Rhysida zelfs maar was geopend, een volgorde die afwijkt van hoe de meeste ransomwarezaken zich gewoonlijk ontvouwen, waarbij publieke erkenning meestal volgt op de vermelding op het lekplatform in plaats van eraan vooraf te gaan.

De timing heeft bijzondere aandacht getrokken omdat het datalek en de deelstaatverkiezingen slechts enkele weken uit elkaar lagen. Ransomwaregroepen timen of versterken hun onthullingen soms rond politiek gevoelige momenten, wetende dat publieke instellingen onder extra druk staan om stil te betalen of de nasleep in de publieke belangstelling te beheren. Berlijns besluit om standvastig te blijven, zelfs onder die druk, is consistent met het standpunt dat het innam toen het het losgeld van 30 bitcoin weigerde nadat de diefstal voor het eerst werd onthuld.

Waarom weigeren te betalen de privacyschade niet ongedaan maakt

Het weigeren van losgeld is over het algemeen de juiste keuze vanuit beleidsperspectief. Betalen financiert verdere aanvallen van criminele groepen, biedt geen garantie dat gestolen gegevens daadwerkelijk worden verwijderd, en kan een organisatie als een herhaaldelijk doelwit markeren. Maar de beslissing om niet te betalen draait niet terug wat al is gebeurd: de gegevens hebben het netwerk verlaten, en zodra ze in handen van Rhysida zijn, zijn ze feitelijk buiten de controle van Berlijn.

Met 5,79 TB die naar verluidt van overheidsinstanties is gestolen, omvat de omvang van wat is blootgesteld waarschijnlijk interne overheidsdocumenten, en afhankelijk van welke instanties zijn getroffen, mogelijk persoonlijke informatie van inwoners die met die overheidssystemen in aanraking komen. Ransomwaregroepen die veilingen op lekplatforms runnen, gebruiken de dreiging van openbaarmaking vaak eerst als hefboom en volgen dan met gedeeltelijke of volledige vrijgave wanneer niet aan de eisen wordt voldaan. Voor iedereen van wie de gegevens mogelijk via de netwerken van Berlijnse overheidsinstanties zijn gegaan, is het praktische risico niet de losgeldonderhandeling zelf, maar wat er uiteindelijk wordt gepubliceerd of verkocht als gevolg daarvan.

Het bredere patroon bij ransomware-incidenten bij overheden

De zaak van Berlijn past in een patroon dat bekend is geworden bij datalekken in de publieke sector: aanvallers stelen gegevens, dreigen met publicatie, en overheden kiezen steeds vaker voor publieke weigering boven stille schikking. Die verschuiving weerspiegelt zowel strengere niet-onderhandelingsbeleidslijnen bij publieke instellingen als een erkenning dat betaling zelden de onderliggende blootstelling oplost. Toch benadrukt elk nieuw incident een aanhoudende kloof tussen wat overheden kunnen beloven (institutionele integriteit, geen financiering van criminele groepen) en wat ze daadwerkelijk kunnen garanderen aan getroffen inwoners (dat gestolen persoonlijke gegevens niet in omloop komen).

Wat dit voor u betekent

Als u in Berlijn woont of contact heeft gehad met de getroffen overheidsinstanties, behandel dit dan als een reden om voorzichtiger te zijn in plaats van een reden om in paniek te raken. Ransomwarelekken met overheidsgegevens kunnen identificerende informatie bevatten zoals namen, adressen of gegevens die verband houden met publieke diensten, zelfs wanneer het primaire doelwit interne administratieve systemen waren in plaats van een database die gericht is op burgers.

Praktische stappen die de moeite waard zijn om te nemen:

• Volg officiële communicatie van de Berlijnse deelstaatregering voor bevestiging van welke gegevenscategorieën precies zijn getroffen, in plaats van te vertrouwen op secundaire samenvattingen.
• Wees alert op phishingpogingen die verwijzen naar het datalek, aangezien gelekte overheidsgegevens soms worden gebruikt om vervolgoplichting geloofwaardiger te laten lijken.
• Overweeg om ongebruikelijke accountactiviteit te controleren als u diensten heeft gebruikt die aan de genoemde instanties zijn gekoppeld, vooral in de weken na een veiling op een lekplatform.
• Ga er niet vanuit dat een weigering om te betalen betekent dat de situatie is opgelost. Het risico op blootstelling van de gegevens blijft bestaan, onafhankelijk van de losgeldbeslissing.

De kern van de zaak

Berlijns weigering om aan Rhysida's eis van 30 bitcoin te voldoen is een verdedigbaar institutioneel standpunt, maar het verandert niets aan het feit dat 5,79 TB aan overheidsgegevens is gestolen en mogelijk nu publiekelijk circuleert. Voor inwoners is de echte boodschap niet de losgeldonderhandeling zelf. Het gaat erom alert te blijven op hoe gelekte overheidsgegevens kunnen opduiken in oplichting of identiteitsdiefstalpogingen lang nadat de krantenkoppen zijn vervaagd. Terwijl deze ransomware-aanval in Berlijn zich blijft ontwikkelen, blijft het in de gaten houden van officiële updates de meest betrouwbare manier om te weten of uw eigen informatie deel uitmaakte van wat Rhysida heeft buitgemaakt.