Rhysida publiceert bijna 6 TB aan gestolen Berlijnse gegevens

Berlijns geweigerde losgeld leidt tot een enorme datadump

De ransomwaregroep Rhysida heeft haar dreigement aan de Berlijnse overheid waargemaakt door bijna zes terabyte aan gestolen bestanden op het darkweb te publiceren. Het datalek markeert het nieuwste hoofdstuk in een zaak die al weken speelt en biedt een duidelijke illustratie van hoe ransomware-afpersingscampagnes doorgaans verlopen wanneer een slachtoffer weigert te betalen.

Volgens berichtgeving volgden de aanvallers een bekend stappenplan: een netwerk binnendringen, grote hoeveelheden gegevens exfiltreren, publicatie dreigen, betaling eisen en een aftellende klok instellen om het slachtoffer onder druk te zetten tot naleving. In dit geval eiste Rhysida naar verluidt 30 Bitcoin. Zoals vpn.social eerder berichtte toen Berlijn het losgeld van $2,3 miljoen aan Rhysida weigerde na de diefstal van 5,79 TB voor het eerst werd onthuld, weigerden stadsfunctionarissen te onderhandelen, waarmee het toneel werd gezet voor de uiteindelijke publicatie van de gegevens.

Van dreiging naar publicatie

De tijdlijn hier is de moeite waard om te begrijpen, omdat deze een patroon weerspiegelt dat herhaaldelijk wordt gezien bij ransomwaregroepen die vertrouwen op 'dubbele afpersingstactieken': eerst gegevens stelen en vervolgens versleutelen of dreigen te lekken als afzonderlijke hefboom. Toen Rhysida voor het eerst de diefstal van 5 TB aan Berlijnse gegevens claimde, verklaarde de stadsregering publiekelijk niet te zullen betalen. Die weigering lijkt de aftelling te hebben geactiveerd die er uiteindelijk toe leidde dat de groep de bestanden openbaar maakte.

De omvang van het lek, omschreven als bijna zes terabyte, suggereert dat het gestolen materiaal veel breder is dan een beperkte set dossiers. Overheidsbestanden van deze omvang bevatten vaak een mix van administratieve documenten, interne communicatie en persoonsgegevens van medewerkers of inwoners. Zodra dergelijk materiaal op het darkweb wordt gepubliceerd, wordt het toegankelijk voor iedereen die bereid is te kijken, waaronder andere criminele actoren die het kunnen gebruiken voor identiteitsdiefstal, phishingcampagnes of verdere gerichte aanvallen op personen die in de bestanden worden genoemd.

Dit is ook geen op zichzelf staand incident voor Rhysida. De groep heeft aanvallen op Berlijn geclaimd naast andere doelwitten zoals Alumax, en ransomwarebendes in het algemeen hebben een gestaag tempo van aanvallen op overheids- en infrastructurele doelwitten volgehouden. Even opmerkelijk is dat Duitsland heeft gerapporteerd dat een groeiend deel van zijn cyberaanvallen nu terug te voeren is op staatsgebonden actoren in plaats van puur financieel gemotiveerde criminelen, een trend die werd gedocumenteerd toen buitenlandse spionnen verantwoordelijk bleken voor 37% van de cyberaanvallen in Duitsland. Of Rhysida nu enige staatsconnectie heeft of niet, het bredere dreigingslandschap waarmee Duitse publieke instellingen worden geconfronteerd, wordt duidelijk intensiever.

Waarom weigeren te betalen nog steeds gevolgen heeft

Berlijns besluit om het losgeld niet te betalen weerspiegelt de standaardrichtlijnen van cyberbeveiligingsagentschappen en wetshandhavingsinstanties, die losgeldbetalingen over het algemeen ontmoedigen omdat ze verdere criminele activiteiten financieren en geen garantie bieden dat gestolen gegevens daadwerkelijk worden verwijderd. Maar die richtlijn gaat gepaard met een lastige afweging: weigeren te betalen betekent vaak dat de gegevens toch worden gepubliceerd.

Dat is precies wat hier lijkt te zijn gebeurd. Het datalek van Rhysida onderstreept dat zodra informatie is geëxfiltreerd, de slachtofferorganisatie er bijna volledig de controle over verliest. Met of zonder betaling, de onderliggende blootstelling vond al plaats op het moment dat de aanvallers de bestanden van de Berlijnse systemen kopieerden. De publieke lekkage is simpelweg de laatste, meest zichtbare fase van een inbreuk die veel eerder begon.

Wat dit voor u betekent

Als u een inwoner van Berlijn of een overheidsmedewerker bent, of als u te maken heeft met gemeentelijke diensten in de getroffen afdelingen, dan is er een reële kans dat een deel van uw persoonlijke gegevens in de gestolen bestanden is opgenomen. De veiligste aanname is dat alle gegevens die door een getroffen overheidskantoor worden bewaard, als potentieel blootgesteld moeten worden behandeld.

Praktische stappen zijn onder meer het controleren van uw financiële rekeningen en kredietrapporten op ongebruikelijke activiteiten, alert zijn op phishing-e-mails of telefoontjes die verwijzen naar persoonlijke details die afkomstig zouden kunnen zijn uit een gelekt overheidsdossier, en het wijzigen van wachtwoorden voor accounts die aan overheidsdiensten zijn gekoppeld als inloggegevens deel uitmaakten van het blootgestelde materiaal. Multi-factorauthenticatie blijft een van de meest effectieve verdedigingsmiddelen tegen accountovernamepogingen die volgen op grote datalekken zoals dit.

Belangrijkste conclusies

Het ransomwarelek van Rhysida tegen de Berlijnse overheid herinnert ons eraan dat ransomware-afpersing niet eindigt wanneer een losgeld onbetaald blijft; het verschuift vaak alleen naar publieke blootstelling. Voor inwoners en medewerkers die verbonden zijn aan de getroffen systemen, is waakzaamheid rond identiteitsdiefstal en phishing de meest directe verdediging. Voor publieke instellingen in bredere zin voegt het incident toe aan een groeiende hoeveelheid bewijs dat overheidsnetwerken doelwitten met hoge waarde blijven, en dat herstelplannen rekening moeten houden met de realiteit dat gestolen gegevens uiteindelijk openbaar kunnen worden, ongeacht welk besluit over betaling wordt genomen.