Rhysida-ransomware treft Berlijn met een eis van 30 bitcoin
Een nieuwe ransomwareclaim met betrekking tot Berlijn heeft de Rhysida-groep weer in de schijnwerpers gezet. Volgens berichtgeving over het incident eist Rhysida 30 bitcoin, ter waarde van ruim een miljoen dollar tegen de huidige wisselkoersen, in ruil voor het niet lekken van 5,79 TB aan gegevens waarvan de groep zegt die te hebben verkregen. Dat is een enorm volume aan informatie, en het roept dezelfde vraag op die elke grote ransomwarezaak oproept: wat gebeurt er met de mensen wier persoonlijke gegevens zich in die gestolen bestanden bevinden?
Rhysida is geen onbekende naam in de ransomwarewereld. De groep werkt volgens een ransomware-as-a-service-model, wat betekent dat het zijn malware en infrastructuur verhuurt aan gelieerde partijen die de daadwerkelijke inbraken uitvoeren. Deze structuur heeft Rhysida tot een van de productievere afpersingsoperaties gemaakt die door overheidsinstanties voor cyberveiligheid worden gevolgd, en het verklaart waarom de slachtofferlijst van de groep blijft groeien in verschillende sectoren en regio's. Zoals behandeld in ons rapport over Rhysida en Akira's claims tegen Berlijn en Alumax, opereert Rhysida zelden in isolatie. Meerdere ransomwarebendes zijn vaak tegelijkertijd actief, soms gericht op dezelfde regio's of sectoren binnen dagen van elkaar.
Waarom de gegevensomvang belangrijker is dan het losgeld
Koppen over ransomware-aanvallen richten zich doorgaans op het dollarbedrag van de losgeldeis, maar het belangrijkere getal hier is 5,79 TB. Zo'n hoeveelheid buitgemaakte gegevens omvat doorgaans veel meer dan alleen interne bedrijfsgegevens. Afhankelijk van welke systemen zijn gecompromitteerd, kan het gaan om personeelsdossiers, inwoners- of burgergegevens, financiële documenten, contracten en communicatie, die allemaal persoonlijke informatie kunnen bevatten van mensen die geen rol speelden in de veiligheidsbeslissingen die tot de inbreuk hebben geleid.
Dit is het kernprivacyrisico van dubbele-afpersingsransomware zoals die van Rhysida. De groep versleutelt niet alleen bestanden om activiteiten te verstoren. Het steelt eerst kopieën van de gegevens en dreigt deze vervolgens openbaar te maken als het losgeld niet wordt betaald. Zelfs als een slachtofferorganisatie sterke back-ups heeft en haar systemen kan herstellen zonder te betalen, kunnen de gestolen gegevens nog steeds worden gelekt of verkocht. Dat betekent dat de blootstelling van privacy onafhankelijk bestaat van de vraag of het losgeld überhaupt wordt betaald.
Overheidsinstanties die Rhysida volgen, hebben indicatoren van compromittering en techniekbeschrijvingen gepubliceerd om verdedigers te helpen de activiteit van de groep te herkennen voordat deze escaleert naar versleuteling en gegevensdiefstal. Deze adviezen beschrijven patronen waarop Rhysida-gelieerden doorgaans vertrouwen, waaronder het misbruiken van blootgestelde externe toegangspunten en het gebruiken van legitieme beheertools om stilletjes door een netwerk te bewegen voordat ransomware wordt ingezet. De waarde van deze indicatoren is dat ze beveiligingsteams een kans geven om een inbraak in een vroeg stadium te onderscheppen, ruim voordat terabytes aan gegevens het netwerk al hebben verlaten.
Wat dit voor u betekent
Als u geen IT-beheerder bent, zou u kunnen aannemen dat een ransomware-aanval op een gemeentelijke overheid of een bedrijf weinig met u te maken heeft. Dat is zelden waar. Als de systemen van Berlijn gegevens bevatten die verband houden met inwoners, werknemers, aannemers of partnerorganisaties, dan kan die informatie nu risico lopen op blootstelling, ongeacht of functionarissen met Rhysida onderhandelen.
Het praktische advies voor iedereen die mogelijk door een dergelijke inbreuk is getroffen, is hetzelfde, ongeacht welke ransomwaregroep erbij betrokken is. Let op officiële meldingen van de betreffende organisatie, aangezien wetten voor het melden van datalekken in de meeste rechtsgebieden vereisen dat betrokken partijen worden geïnformeerd. Behandel onverwachte e-mails, telefoontjes of sms-berichten die naar het incident verwijzen met argwaan, aangezien aanvallers en opportunistische oplichters vaak gegevenslekken of publiek nieuws over datalekken gebruiken om vervolg-phishingcampagnes uit te voeren. Als u accounts of gegevens heeft bij de getroffen organisatie, overweeg dan om wachtwoorden te wijzigen, meervoudige authenticatie in te schakelen waar beschikbaar, en te letten op tekenen van identiteitsdiefstal, zoals nieuwe accounts die op uw naam zijn geopend.
Uw blootstelling aan ransomwaregevolgen verminderen
Organisaties dragen de primaire verantwoordelijkheid voor de verdediging tegen groepen zoals Rhysida, en de gepubliceerde indicatoren van compromittering bestaan specifiek om beveiligingsteams te helpen de hiaten te dichten die deze gelieerden misbruiken. Maar individuen zijn ook geen machteloze omstanders. Voorzichtig zijn met waar u persoonlijke gegevens deelt, unieke wachtwoorden gebruiken voor verschillende diensten, en creditcard- of accountactiviteiten in de gaten houden na een bekend datalek, kan de schade op betekenisvolle wijze beperken wanneer een incident zoals de Berlijnse zaak uiteindelijk uw eigen informatie raakt.
Ransomwaregroepen zoals Rhysida gedijen op snelheid en schaal: ze treffen veel doelwitten en hopen dat genoeg daarvan betalen om de operatie winstgevend te maken. Op de hoogte blijven van actieve campagnes, begrijpen wat een dubbele-afpersingseis daadwerkelijk betekent voor gestolen gegevens, en basisbeschermingsmaatregelen nemen na een melding van een datalek zijn de meest realistische manieren om uw blootstelling te beperken. Nu de activiteit van Rhysida in 2026 doorgaat, kunt u meer claims verwachten zoals die tegen Berlijn, en verwacht u dat dezelfde privacyvragen elke claim zullen volgen.
