Rhysida publikuje prawie 6 TB skradzionych danych Berlina

Odmowa okupu przez Berlin prowadzi do masowego wycieku danych

Grupa ransomware Rhysida dotrzymała groźby wobec rządu Berlina, publikując w dark webie prawie sześć terabajtów skradzionych plików. Wyciek oznacza najnowszy rozdział w sprawie, która rozwija się od tygodni, i stanowi jasną ilustrację tego, jak zwykle przebiegają kampanie wymuszeń ransomware, gdy ofiara odmawia zapłaty.

Zgodnie z doniesieniami, atakujący postępowali według znanego schematu: infiltracja sieci, eksfiltracja dużej ilości danych, groźba publikacji, żądanie zapłaty i ustawienie licznika czasu, aby wywrzeć presję na ofiarę. W tym przypadku Rhysida zażądała podobno 30 Bitcoinów. Jak wcześniej informował vpn.social, gdy Berlin odmówił zapłaty okupu w wysokości 2,3 mln USD po kradzieży 5,79 TB danych Rhysidzie, urzędnicy miejscy odmówili negocjacji, co przygotowało grunt pod ostateczną publikację danych.

Od groźby do publikacji

Harmonogram tych wydarzeń warto zrozumieć, ponieważ odzwierciedla wzorzec wielokrotnie obserwowany w przypadku grup ransomware stosujących taktykę „podwójnego wymuszenia": najpierw kradzież danych, potem szyfrowanie lub groźba ich ujawnienia jako osobnej dźwigni nacisku. Gdy Rhysida po raz pierwszy przyznała się do kradzieży 5 TB danych Berlina, władze miasta publicznie oświadczyły, że nie zapłacą. Ta odmowa najwyraźniej uruchomiła odliczanie, które ostatecznie zakończyło się opublikowaniem plików przez grupę.

Skala wycieku, opisana jako prawie sześć terabajtów, sugeruje, że skradziony materiał wykracza daleko poza wąski zestaw dokumentów. Pliki rządowe o takiej objętości często zawierają mieszankę dokumentów administracyjnych, wewnętrznej korespondencji oraz danych osobowych pracowników lub mieszkańców. Gdy materiał tego typu trafia do dark webu, staje się dostępny dla każdego, kto zechce go przeglądać, w tym dla innych przestępców, którzy mogą go wykorzystać do kradzieży tożsamości, kampanii phishingowych lub dalszych ukierunkowanych ataków na osoby wymienione w plikach.

To nie jest też odosobniony incydent dla Rhysidy. Grupa przyznała się do ataków na Berlin wraz z innymi celami, takimi jak Alumax, a grupy ransomware szerzej utrzymują stałe tempo ataków na cele rządowe i infrastrukturalne. Co równie istotne, Niemcy poinformowały, że coraz większy odsetek ich cyberataków można obecnie przypisać podmiotom powiązanym z państwami, a nie wyłącznie przestępcom motywowanym finansowo – to trend udokumentowany, gdy stwierdzono, że zagraniczni szpiedzy odpowiadają za 37% cyberataków w Niemczech. Niezależnie od tego, czy Rhysida ma jakiekolwiek powiązania z państwem, szerszy krajobraz zagrożeń dla niemieckich instytucji publicznych wyraźnie się nasila.

Dlaczego odmowa zapłaty wciąż ma konsekwencje

Decyzja Berlina o niepłaceniu okupu odzwierciedla standardowe zalecenia agencji cyberbezpieczeństwa i organów ścigania, które generalnie odradzają płacenie okupów, ponieważ finansuje to dalszą działalność przestępczą i nie daje gwarancji, że skradzione dane rzeczywiście zostaną usunięte. Jednak te zalecenia wiążą się z trudnym kompromisem: odmowa zapłaty często oznacza, że dane zostaną opublikowane niezależnie od tego.

Dokładnie to wydaje się tutaj mieć miejsce. Wyciek danych Rhysidy podkreśla, że gdy informacje zostaną eksfiltrowane, organizacja-ofiara traci nad nimi kontrolę niemal całkowicie. Niezależnie od zapłaty, samo narażenie nastąpiło w momencie, gdy atakujący skopiowali pliki z systemów Berlina. Publiczny wyciek to po prostu końcowy, najbardziej widoczny etap naruszenia, które rozpoczęło się znacznie wcześniej.

Co to oznacza dla Ciebie

Jeśli jesteś mieszkańcem Berlina lub pracownikiem publicznym albo korzystasz z usług miejskich w dotkniętych departamentach, istnieje spore prawdopodobieństwo, że część Twoich danych osobowych znalazła się w skradzionych plikach. Najbezpieczniejsze założenie jest takie, że wszelkie dane przechowywane przez dotknięty urząd rządowy należy traktować jako potencjalnie ujawnione.

Praktyczne kroki obejmują monitorowanie kont finansowych i raportów kredytowych pod kątem nietypowej aktywności, czujność wobec wiadomości phishingowych lub telefonów odwołujących się do danych osobowych, które mogły pochodzić z wyciekniętych rejestrów rządowych, oraz zmianę haseł do wszystkich kont powiązanych z usługami rządowymi, jeśli poświadczenia znajdowały się w ujawnionym materiale. Uwierzytelnianie wieloskładnikowe pozostaje jedną z najskuteczniejszych obron przed próbami przejęcia kont, które następują po tak dużych wyciekach danych.

Kluczowe wnioski

Wyciek ransomware Rhysidy przeciwko rządowi Berlina przypomina, że wymuszenia ransomware nie kończą się, gdy okup nie zostanie zapłacony – często po prostu przechodzą w publiczne ujawnienie. Dla mieszkańców i pracowników powiązanych z dotkniętymi systemami czujność wobec kradzieży tożsamości i phishingu jest najszybszą obroną. Dla instytucji publicznych szerzej ten incydent stanowi kolejny dowód na to, że sieci rządowe pozostają celami o wysokiej wartości, a plany odzyskiwania muszą uwzględniać rzeczywistość, w której skradzione dane mogą trafić do publicznej wiadomości niezależnie od decyzji dotyczącej zapłaty.