Berlin ignoruje piątkowy termin wyznaczony przez oprogramowanie ransomware Rhysida

Co się wydarzyło w berlińskim incydencie ransomware

Berliński atak ransomware Rhysida stał się najnowszym przypomnieniem, że instytucje publiczne są głównymi celami gangów wymuszających okup, a płacenie okupu nie jest już traktowane jako realna opcja przez wiele rządów. Rząd kraju związkowego Berlina potwierdził, że atakujący infiltrowali jego sieć i wykradli dane, a urzędnicy publicznie oświadczyli, że nie zapłacą okupu żądanego za zachowanie tych informacji w poufności.

Grupa stojąca za atakiem, Rhysida, to operacja ransomware i wymuszeń podejrzewana o powiązania z Rosją. Według doniesień, Rhysida wyznaczyła berlińskiemu rządowi piątkowy termin, grożąc ujawnieniem skradzionych materiałów, jeśli okup nie zostanie zapłacony. Atakujący twierdzą, że wykradli z berlińskiej sieci państwowej 5,79 TB danych, co jest wolumenem wystarczająco dużym, by potencjalnie obejmować szeroki zakres danych administracyjnych, kadrowych i związanych z obsługą obywateli. Bardziej szczegółowe omówienie samego incydentu, w tym harmonogram i skalę kradzieży, znajduje się w oryginalnym artykule o odrzuceniu przez Berlin żądania okupu od Rhysida.

Dlaczego rządy odmawiają płacenia okupu za oprogramowanie ransomware

Decyzja Berlina wpisuje się w szerszy trend widoczny wśród ofiar ransomware z sektora publicznego. Organy rządowe coraz częściej odmawiają negocjacji z grupami wymuszającymi, nawet gdy wolumen skradzionych danych jest znaczny, a atakujący wyznaczają twarde terminy mające na celu wywarcie presji na szybką zapłatę.

Za tym stanowiskiem stoją praktyczne powody. Zapłacenie okupu nie gwarantuje, że skradzione dane zostaną usunięte lub zachowane w poufności. Grupy wymuszające takie jak Rhysida działają poza jakimkolwiek egzekwowalnym porozumieniem, a organizacje, które płacą jednemu żądaniu, mogą stać się powtarzalnymi celami. Instytucje publiczne spotykają się również z dodatkową kontrolą: wykorzystywanie środków podatników do płacenia grupom przestępczym, z których część ma domniemane powiązania z państwem lub zorganizowaną przestępczością, rodzi komplikacje prawne i polityczne, przed którymi firmy prywatne nie zawsze stają w ten sam sposób.

W rezultacie, gdy sieci rządowe zostaną naruszone, obywatele, których dane znajdują się w tych systemach, często nie mogą polegać na zapłacie okupu, aby chronić swoje informacje. Niezależnie od tego, czy Berlin zapłaci, fakt, że 5,79 TB zostało już skopiowanych z sieci, oznacza, że do ekspozycji danych doszło już w praktyce.

Co naruszenie danych o objętości 5,79 TB oznacza dla dotkniętych nim obywateli

Naruszenie tej skali jest znaczące nie ze względu na samą liczbę, ale ze względu na to, co zazwyczaj przechowują sieci rządowe: dane identyfikacyjne, informacje podatkowe i o świadczeniach, akta pracownicze oraz korespondencję między urzędami a mieszkańcami. Gdy grupa ransomware twierdzi, że posiada dane tej skali pochodzące z rządu krajowego, najbezpieczniejszym założeniem dla każdego związane z tą jurysdykcją jest to, że część danych osobowych mogła zostać objęta kradzieżą, niezależnie od tego, czy kiedykolwiek zostaną opublikowane.

To przydatny model myślowy dla każdego mieszkańca dotkniętego naruszeniem sektora publicznego: traktuj możliwość ekspozycji jako realną od momentu potwierdzenia ataku, a nie od momentu, gdy skradzione pliki faktycznie pojawią się w internecie. Grupy ransomware czasami publikują próbki, aby udowodnić swoje roszczenia, czasami po upływie terminu ujawniają pełne zestawy danych, a czasami nie publikują niczego, jeśli znajdą inny sposób na zysk. Czekanie na potwierdzenie przed podjęciem działań ochronnych marnuje cenny czas.

Ten wzorzec nie jest unikalny dla Berlina. Grupy ransomware wielokrotnie atakowały infrastrukturę publiczną i zakłady użyteczności publicznej, w tym przypadek oprogramowania ransomware Qilin atakującego Grayson Rural Electric Cooperative, dostawcę usług energetycznych obsługującego klientów w kilku hrabstwach. Te incydenty pokazują, że ataki na infrastrukturę rządową i publiczną są powtarzającym się ryzykiem, a nie odosobnionym wydarzeniem.

Jak osoby prywatne mogą chronić swoje dane, gdy instytucje publiczne zostaną naruszone

Obywatele zazwyczaj nie mają wpływu na to, czy sieć rządowa zostanie naruszona, ale istnieją kroki, które zmniejszają osobiste ryzyko po takim zdarzeniu:

• Monitoruj oficjalne powiadomienia o naruszeniu od lokalnych lub krajowych władz i postępuj zgodnie z ich wskazówkami dotyczącymi dotkniętych usług.
• Częściej sprawdzaj raporty kredytowe i wyciągi finansowe, jeśli korzystasz z usług rządowych przechowujących dane finansowe lub dotyczące świadczeń.
• Stosuj unikalne, silne hasła do wszelkich portali rządowych lub kont usług dla obywateli oraz włącz uwierzytelnianie wieloskładnikowe, jeśli jest dostępne.
• Zachowaj ostrożność wobec prób phishingu nawiązujących do naruszenia, ponieważ atakujący czasami wykorzystują wiadomości o wycieku do tworzenia przekonujących wiadomości oszukańczych.
• Rozważ zamrożenie raportu kredytowego, jeśli uważasz, że wysoce wrażliwe dane identyfikacyjne mogły zostać objęte skradzionymi plikami.

Co to oznacza dla Ciebie

Berliński atak ransomware Rhysida to studium przypadku trendu, który prawdopodobnie będzie kontynuowany: instytucje publiczne pozostają nieugięte wobec żądań wymuszeń, podczas gdy ryzyko ekspozycji danych dla obywateli pozostaje niezależnie od wyniku. Odmowa zapłaty jest często właściwą decyzją z punktu widzenia polityki, ale nie usuwa faktu, że wrażliwe dane mogły już trafić w ręce przestępców. Dla mieszkańców związanych z jakimkolwiek naruszonym systemem rządowym praktyczna reakcja jest taka sama, niezależnie od tego, czy okup zostanie ostatecznie zapłacony: zakładaj pewną ekspozycję, monitoruj konta i zaostrz osobiste środki bezpieczeństwa związane z usługami rządowymi.

Ponieważ grupy ransomware nadal atakują infrastrukturę publiczną, od rządów krajowych po spółdzielnie energetyczne, pozostawanie poinformowanym o tych incydentach i przeglądanie własnego ryzyka ekspozycji danych to jedne z niewielu konkretnych działań dostępnych dla osób prywatnych. Czytelnicy, którzy chcą poznać pełne szczegóły berlińskiego incydentu, mogą zapoznać się z oryginalnym artykułem, do którego link znajduje się powyżej, a zainteresowanych wpływem ransomware na usługi podstawowe odsyłamy również do przypadku Grayson Rural Electric Cooperative jako kolejnego przykładu infrastruktury publicznej pod atakiem.