O que aconteceu: o vazamento de 5,26 TB da Rhysida

O grupo de ransomware Rhysida publicou 5,26 terabytes de dados roubados do governo estadual de Berlim na dark web. O despejo segue um padrão familiar para o grupo: infiltrar-se numa rede, exfiltrar grandes volumes de ficheiros sensíveis, exigir pagamento e divulgar tudo publicamente quando o alvo se recusa a pagar. Esta última divulgação faz parte de uma saga em curso que o vpn.social tem acompanhado de perto, incluindo a publicação anterior da Rhysida de quase seis terabytes de dados roubados de Berlim e a decisão do grupo de despejar dados de Berlim depois de a cidade ter recusado uma exigência de resgate de 2 milhões de euros.

Vazamentos de dados governamentais deste tamanho raramente são eventos isolados. Tendem a desenrolar-se por etapas, com ameaças iniciais, prazos, divulgações parciais e, eventualmente, a publicação total assim que as negociações colapsam. O caso de Berlim parece seguir exatamente essa trajetória, culminando nesta divulgação de 5,26 TB.

Quem é a Rhysida e porque ataca instituições públicas

A Rhysida está ativa desde 2023 e construiu uma reputação por visar dois setores em particular: organizações de saúde e administrações públicas. Entre as suas vítimas conhecidas estão o Centro Hospitalar Universitário de Lisboa, uma importante rede hospitalar em Portugal, e até o Vaticano. Este padrão não é coincidência. Hospitais, governos municipais e instituições religiosas frequentemente operam com sistemas informáticos legados, funcionam com orçamentos apertados para cibersegurança e detêm enormes volumes de dados pessoais e administrativos sensíveis, exatamente o tipo de combinação que os torna alvos atrativos para um grupo à procura de dados de alto valor com defesas comparativamente mais fracas.

As vítimas do setor público também enfrentam um dilema único quando são atingidas por ransomware. Pagar um resgate a um grupo criminoso levanta questões legais e éticas, e não há garantia de que o pagamento impeça que os dados sejam divulgados ou revendidos de qualquer forma. Recusar pagar, por outro lado, significa que os dados se tornam públicos, potencialmente expondo cidadãos, funcionários e operações governamentais a danos duradouros. O governo de Berlim foi anteriormente reportado como tendo recusado uma exigência de resgate feita em Bitcoin antes de um prazo definido, uma decisão que acabou por levar ao despejo dos dados em vez de serem vendidos ou suprimidos.

O manual da dupla extorsão

A Rhysida opera usando uma tática conhecida como dupla extorsão. Em vez de simplesmente encriptar ficheiros e exigir pagamento por uma chave de desencriptação, o grupo primeiro rouba uma cópia dos dados antes de bloquear os sistemas. Isto dá-lhes duas formas de alavancagem: as vítimas são pressionadas a pagar tanto para recuperar o acesso aos seus próprios sistemas como para impedir que os dados roubados sejam publicados ou vendidos. Se o resgate não for pago, o grupo cumpre a ameaça divulgando os dados publicamente, como aconteceu repetidamente ao longo do caso de Berlim, incluindo numa divulgação anterior descrita como dados do governo de Berlim vazados após recusa de resgate.

A dupla extorsão tornou-se cada vez mais comum entre grupos de ransomware precisamente porque funciona. Mesmo organizações com sistemas de backup sólidos que conseguem restaurar ficheiros encriptados sem pagar continuam a enfrentar a ameaça de exposição pública dos dados, o que mantém a pressão independentemente de quão bem o plano de recuperação de desastres da vítima se aguente.

O que isto significa para si

Se vive em Berlim, trabalha para a administração da cidade ou tem quaisquer interações com os sistemas governamentais afetados, este vazamento merece a sua atenção. Vazamentos de dados da administração pública como este incluem frequentemente registos pessoais ligados a funcionários e residentes, não apenas ficheiros burocráticos internos. Mesmo que não tenha sido diretamente notificado, é razoável assumir que informações sensíveis ligadas a serviços públicos possam estar a circular na dark web após uma violação desta escala.

De forma mais ampla, este incidente é um lembrete de que os grupos de ransomware veem cada vez mais as instituições públicas, e não apenas as empresas, como alvos privilegiados. Os sistemas de saúde e os organismos governamentais detêm dados difíceis de substituir e impossíveis de "des-vazar" depois de saírem. Essa realidade pressiona as agências públicas a investir em defesas de cibersegurança mais fortes, mas também significa que os indivíduos devem manter-se alerta para sinais de que os seus próprios dados foram expostos sem culpa própria.

Agir após um vazamento de dados governamentais

Se acredita que as suas informações podem ter feito parte desta ou de uma violação semelhante, há passos práticos que vale a pena tomar. Monitorize as suas contas e quaisquer números de identificação emitidos pelo governo para sinais de uso indevido. Tenha cuidado com tentativas de phishing que referenciem os seus dados pessoais, uma vez que os dados vazados são frequentemente reutilizados para fraudes subsequentes. Considere usar serviços de monitorização de identidade se estiverem disponíveis para si, e mantenha-se informado através das comunicações oficiais do governo sobre o âmbito da violação e qualquer apoio oferecido aos residentes afetados.

A saga do ransomware Rhysida em Berlim ilustra como uma única recusa de resgate pode desencadear um evento massivo de exposição de dados em várias etapas. À medida que estes incidentes continuam a desenrolar-se, manter-se informado sobre como os seus dados podem ser afetados continua a ser uma das formas mais eficazes de se proteger após o sucedido.