Rhysida og Akira hevder angrep mot Berlin og Alumax: Neste steg

Hva Rhysida- og Akira-påstandene faktisk sier

To ransomware-grupper har lagt til nye navn på offerlistene sine. Rhysida har hevdet et angrep knyttet til Berlin, mens Akira har listet et selskap identifisert som Alumax. Som vanlig med disse oppføringene er den offentlige informasjonen tynn. Det finnes ingen detaljert redegjørelse for hvilke systemer som angivelig ble aksessert, hvor mye data som ble tatt, hvilken metode som ble brukt for innledende tilgang, hvilket løsepengebeløp som kreves, eller hvordan driften hos Alumax kan ha blitt påvirket.

Dette er viktig kontekst for alle som prøver å forstå nyhetene. En oppføring på en ransomware-gruppes lekkasjenettside er først og fremst en påstand fremsatt av angriperne selv. Det er ikke det samme som en bekreftet bruddavsløring fra offerorganisasjonen, en regulatorisk innlevering eller en uavhengig etterforskningsrapport. Ransomware-gjenger bruker disse oppføringene som pressetaktikk, designet for å presse et offer til å betale før situasjonen er fullt verifisert av eksterne parter. Lesere som følger Berlin-situasjonen kan få mer bakgrunn fra vår tidligere dekning av Rhysida ransomware-angrepet på Berlins regjering, som ble kjent rett før en planlagt avstemning.

Hvorfor ubekreftede ransomware-oppføringer likevel fortjener en respons

Det er fristende å avfeie en ubekreftet påstand som støy, men det ville være en feil. En offeroppføring kan representere alt fra en tidlig utpressingsbløff til et fullt gjennomført brudd der sensitiv data allerede er eksfiltrert. Usikkerheten er i seg selv poenget: Ransomware-operatører tjener på tvetydighet fordi det gir dem tid og innflytelse mens målorganisasjonen kjemper for å finne ut hva som faktisk skjedde internt.

For alle som kan ha et forhold til en av de navngitte organisasjonene, enten som ansatt, kunde, partner eller innbygger i tilfellet med en offentlig enhet, er den tryggeste holdningen å behandle påstanden som sannsynlig inntil det motsatte er bevist. Å vente på offisiell bekreftelse før man tar beskyttende tiltak kan etterlate et betydelig eksponeringsvindu. Historien viser hvor raskt disse situasjonene kan eskalere fra en påstand til et bekreftet, storskala hendelse. Vår tidligere rapport om et sykehus-ransomware-brudd som eksponerte nesten 338 000 pasientjournaler er en påminnelse om at det som starter som en lekkasjesideoppføring kan bli til en svært reell, svært stor dataeksponering når detaljene er bekreftet.

Tiltak du kan ta hvis du tror dataene dine ble eksponert

Hvis du tror du kan være påvirket av enten Berlin- eller Alumax-påstandene, eller en lignende ransomware-oppføring, finnes det konkrete steg for ransomware-bruddsofre du kan ta med en gang i stedet for å vente på offisiell bekreftelse:

• Endre passord knyttet til organisasjonen. Hvis du har en konto hos den berørte enheten, oppdater passordet ditt umiddelbart og unngå å gjenbruke det andre steder.
• Aktiver flerfaktorautentisering der det er tilgjengelig, spesielt på e-post, bank og alle kontoer som deler et passordmønster med den potensielt berørte tjenesten.
• Vær oppmerksom på phishing-forsøk. Ransomware-brudd fører ofte til en bølge av oppfølgende phishing-e-poster eller -samtaler som refererer til hendelsen for å virke legitime. Behandle uventede meldinger som refererer til bruddet med mistenksomhet.
• Overvåk finansiell og identitetsrelatert aktivitet. Sjekk kontoutskrifter og vurder en kredittsperre eller svindelvarsel hvis organisasjonen håndterer sensitiv person- eller finansdata.
• Se etter offisielle uttalelser. Følg verifiserte kommunikasjoner fra organisasjonen selv, lokale regulatorer eller etablerte nyhetskanaler i stedet for å stole utelukkende på ransomware-gruppens egne påstander.
• Dokumenter alt. Hvis du mottar et bruddvarsel senere, ta vare på oppføringer over mistenkelig aktivitet som skjedde i mellomtiden. Dette kan hjelpe hvis du trenger å bestride uredelige transaksjoner eller sende inn en rapport.

Disse stegene gjelder bredt, enten enheten som er involvert er en byregjering som Berlin eller et privat selskap som Alumax. Målet er å redusere din personlige eksponering uansett hvordan den underliggende påstanden til slutt blir løst.

Hvordan utpressingspress fungerer og hvorfor betaling ikke garanterer sletting

Grupper som Rhysida og Akira stoler på en velkjent oppskrift: stjele eller hevde å stjele data, true med offentlig frigjøring eller salg, og presse offerorganisasjonen til å betale før en frist. Selve oppføringen er ofte det første stadiet i den pressekampanjen, ment å generere offentlig oppmerksomhet og drive forhandlingene fremover.

Selv når en offerorganisasjon betaler, er det ingen garanti for at stjålne data faktisk blir slettet eller at de ikke dukker opp senere, enten solgt til en annen part, lekket til tross for betaling, eller brukt i et oppfølgende utpressingsforsøk. Dette er grunnen til at enkeltpersoner knyttet til en påstått offerorganisasjon ikke bør vente på å se om en løsepenge blir betalt før de tar egne forholdsregler. Den finansielle transaksjonen mellom en organisasjon og angriperne, hvis den i det hele tatt skjer, har liten betydning for om din personlige informasjon allerede er kopiert og distribuert andre steder.

Hva dette betyr for deg

Enten Rhysida-påstanden mot Berlin eller Akira-påstanden mot Alumax noen gang blir fullt bekreftet, endrer ikke den praktiske rådgivningen for potensielt berørte seg stort. Ransomware-påstander eksisterer i en gråsone mellom rykte og bekreftet hendelse, og den usikkerheten er nettopp grunnen til at proaktive steg for ransomware-bruddsofre betyr noe. Å handle tidlig koster deg lite og beskytter deg hvis verste fall viser seg å være sant.

Viktige konklusjoner

• Behandle ransomware-gruppers påstander som sannsynlige, men ubekreftede, til en offisiell kilde bekrefter detaljene.
• Endre passord og aktiver flerfaktorautentisering på alle kontoer knyttet til en potensielt berørt organisasjon.
• Vær årvåken for phishing-meldinger som refererer til bruddet for å virke troverdige.
• Overvåk finanskontoene dine og vurder kredittbeskyttelse hvis sensitiv data kan være involvert.
• Husk at en løsepengebetaling fra offerorganisasjonen ikke garanterer at dataene dine er trygge eller slettet.

Å holde seg informert og handle raskt er fortsatt det beste forsvaret mens disse påstandene arbeider seg mot bekreftelse eller løsning.