Grupa ransomware Rhysida przyznała się do wykradzenia ponad 5 TB danych z systemów berlińskiego rządu krajowego, w tym danych osobowych i danych logowania. Odpowiedź miasta była konsekwentna przez cały czas trwania incydentu: nie zapłaci okupu, niezależnie od tego, czym grożą atakujący w związku z wykradzionymi plikami.

To najnowsze oświadczenie to kolejny rozdział w incydencie, który rozgrywa się od kilku tygodni, a berlińscy urzędnicy wielokrotnie pozostawali nieugięci wobec żądań grupy, nawet gdy zakres rzekomego naruszenia wciąż rośnie.

Co twierdzi Rhysida

Według grupy ransomware, wykradziony zestaw danych przekracza 5 TB i obejmuje dane osobowe oraz dane logowania, które potencjalnie mogą być użyte do uzyskania dostępu do innych systemów lub kont. Grupy ransomware takie jak Rhysida zazwyczaj wykorzystują takie twierdzenia jako dźwignię, grożąc publikacją lub sprzedażą wrażliwych danych, jeśli okup nie zostanie zapłacony. Grupa ma na koncie ataki na organizacje rządowe i sektora publicznego, a ten incydent wpisuje się w ten szerszy wzorzec.

Sytuacja sięga momentu, gdy Berlin odmówił zapłaty zgłoszonego okupu w wysokości 30 bitcoinów po tym, jak urzędnicy potwierdzili, że hakerzy włamali się do sieci agencji stanowych. Od tego czasu miasto całkowicie odrzuciło żądanie okupu, a stanowisko to nie zmieniło się mimo eskalacji twierdzeń atakujących dotyczących objętości i wrażliwości wykradzionego materiału.

Odmowa Berlina zapłaty: kontynuacja wzorca

To, co wyróżnia się w tej sprawie, to konsekwentne publiczne stanowisko Berlina. Zamiast negocjować po cichu lub płacić, aby problem zniknął, miejscy urzędnicy na każdym etapie wybierali transparentność i odmowę. Takie podejście zostało utrzymane nawet po tym, jak atakujący wystawili wykradzione dane na aukcję, gdy okup nie został zapłacony – to powszechna taktyka eskalacji stosowana przez operatorów ransomware, gdy ich początkowe żądania nie zostają spełnione.

Rhysida nie jest jedyną grupą działającą ostatnio przeciwko celom powiązanym z Berlinem. Osobne oświadczenia dotyczące Rhysidy i innej grupy znanej jako Akira również się pojawiły, co podkreśla, jak często cele z sektora publicznego i biznesu są atakowane przez wiele operacji ransomware działających równolegle.

Eksperci ds. bezpieczeństwa generalnie odradzają płacenie okupów, ponieważ zapłata nie gwarantuje, że dane i tak nie zostaną ujawnione, a także może zachęcać do dalszych ataków na te same lub inne cele. Stanowisko Berlina jest zgodne z tymi zaleceniami, nawet jeśli oznacza to, że mieszkańcy mogą ponieść konsekwencje, jeśli rzekomo wykradzione dane zostaną ostatecznie opublikowane lub sprzedane.

Konsekwencje dla prywatności mieszkańców

Prawdziwym problemem tutaj nie jest sam okup, ale to, co stanie się z ludźmi, których dane osobowe mogą znajdować się w wykradzionych plikach. Jeśli dane logowania i dane osobowe z systemów rządowych zostaną ujawnione, osoby dotknięte mogą być narażone na zwiększone ryzyko ataków phishingowych, kradzieży tożsamości lub prób przejęcia kont przy użyciu wyciekłych informacji logowania.

Naruszenia danych w instytucjach rządowych mają szczególną wagę, ponieważ zaangażowane informacje często obejmują dane związane z usługami publicznymi, rejestrami podatkowymi lub kontami miejskimi – dane, których trudno zmienić lub zresetować, tak jak można zresetować skompromitowane hasło. Gdy w ramach naruszenia wykradzione zostaną konkretnie dane logowania, każdy, kto używał tych samych danych gdzie indziej, jest narażony na dodatkowe ryzyko w przypadku innych kont.

Co to oznacza dla Ciebie

Jeśli masz jakiekolwiek sprawy związane z systemami berlińskiego rządu krajowego – jako mieszkaniec, pracownik lub wykonawca – warto potraktować ten incydent jako sygnał do przejrzenia własnych praktyk bezpieczeństwa. Nie wymaga to paniki, ale uzasadnia podjęcie kilku praktycznych kroków.

Po pierwsze, jeśli używałeś danych logowania powiązanych z berlińskimi usługami stanowymi gdziekolwiek indziej, zmień te hasła teraz, zwłaszcza jeśli używałeś ich ponownie na wielu kontach. Po drugie, uważaj na próby phishingu odnoszące się do naruszenia lub rzekomo pochodzące od berlińskich urzędników z prośbą o weryfikację danych. Atakujący często wykorzystują publiczną świadomość naruszenia, aby nakłonić ludzi do dobrowolnego przekazania większej ilości danych. Po trzecie, rozważ włączenie uwierzytelniania wieloskładnikowego wszędzie tam, gdzie jest oferowane, ponieważ dodaje to warstwę ochrony nawet w przypadku naruszenia hasła.

Bądź na bieżąco i chroń się

Incydenty ransomware związane z kradzieżą danych rządowych są niestety coraz częstsze, a doświadczenie Berlina pokazuje, że odmowa zapłaty nie kończy sprawy szybko. Twierdzenia grup takich jak Rhysida mogą być rozstrzygane tygodniami lub miesiącami, a prawdziwy zakres tego, co zostało wykradzione, często nie jest potwierdzony znacznie później, jeśli w ogóle.

Na razie najbardziej użyteczne, co mogą zrobić mieszkańcy i osoby związane z berlińskimi systemami rządowymi, to zachować czujność, monitorować nietypową aktywność na kontach i traktować wszelkie nieoczekiwane komunikaty odnoszące się do tego naruszenia z ostrożnością. W miarę rozwoju sytuacji śledzenie oficjalnych oświadczeń berlińskich władz będzie najbardziej wiarygodnym sposobem na zrozumienie, które dokładnie dane zostały dotknięte i jakie kroki, jeśli w ogóle, są podejmowane w celu powiadomienia osób poszkodowanych.