Refuzul plății răscumpărării de către Berlin duce la o descărcare masivă de date

Grupul de ransomware Rhysida și-a respectat amenințarea la adresa guvernului din Berlin, publicând aproape șase teraocteți de fișiere furate pe dark web. Scurgerea marchează cel mai recent capitol dintr-un caz care se desfășoară de săptămâni și oferă o ilustrare clară a modului în care campaniile de extorcare prin ransomware se desfășoară de obicei atunci când victima refuză să plătească.

Conform relatărilor, atacatorii au urmat un scenariu binecunoscut: infiltrarea unei rețele, exfiltrarea unor volume mari de date, amenințarea cu publicarea, cererea de plată și stabilirea unui cronometru invers pentru a presa victima să se conformeze. În acest caz, Rhysida ar fi cerut 30 de Bitcoin. Așa cum vpn.social a acoperit anterior când Berlin a refuzat răscumpărarea de 2,3 milioane USD cerută de Rhysida după furtul a 5,79 TB a fost dezvăluit pentru prima dată, oficialii orașului au refuzat să negocieze, pregătind terenul pentru eliberarea eventuală a datelor.

De la amenințare la publicare

Cronologia de aici merită înțeleasă, deoarece reflectă un tipar observat în mod repetat în cazul grupurilor de ransomware care se bazează pe tactici de „dublă extorcare”: furtul datelor mai întâi, apoi criptarea sau amenințarea cu scurgerea lor ca pârghie separată. Când Rhysida a revendicat prima dată furtul a 5 TB de date de la Berlin, guvernul orașului a declarat public că nu va plăti. Acest refuz pare să fi declanșat numărătoarea inversă care s-a încheiat în cele din urmă cu grupul care a publicat fișierele.

Scara scurgerii, descrisă ca fiind de aproape șase teraocteți, sugerează că materialul furat depășește cu mult un set restrâns de înregistrări. Fișierele guvernamentale de acest volum includ adesea un amestec de documente administrative, comunicări interne și date personale aparținând angajaților sau rezidenților. Odată ce material de acest tip este publicat pe dark web, devine accesibil oricui dorește să-l vadă, inclusiv altor actori criminali care l-ar putea folosi pentru furt de identitate, campanii de phishing sau atacuri direcționate suplimentare împotriva persoanelor menționate în fișiere.

Aceasta nu este nici un incident izolat pentru Rhysida. Grupul a revendicat atacuri asupra Berlinului alături de alte ținte precum Alumax, iar echipele de ransomware în general au menținut un ritm constant de atacuri împotriva țintelor guvernamentale și de infrastructură. La fel de notabil, Germania a raportat că o parte tot mai mare a atacurilor sale cibernetice provine acum de la actori legați de state, mai degrabă decât de la infractori motivați pur financiar, o tendință documentată când spionii străini au fost găsiți că generează 37% din atacurile cibernetice din Germania. Indiferent dacă Rhysida are sau nu vreo legătură cu un stat, peisajul mai larg al amenințărilor cu care se confruntă instituțiile publice germane se intensifică în mod clar.

De ce refuzul de a plăti are totuși consecințe

Decizia Berlinului de a nu plăti răscumpărarea reflectă îndrumările standard ale agențiilor de securitate cibernetică și ale forțelor de ordine, care descurajează în general plățile de răscumpărare, deoarece acestea finanțează activități criminale suplimentare și nu oferă nicio garanție că datele furate vor fi efectiv șterse. Dar această îndrumare vine cu un compromis dur: refuzul de a plăti înseamnă adesea că datele vor fi publicate oricum.

Exact ceea ce pare să se fi întâmplat aici. Scurgerea de date Rhysida subliniază că, odată ce informațiile sunt exfiltrate, organizația victimei pierde aproape complet controlul asupra lor. Cu plată sau fără plată, expunerea subiacentă a avut deja loc în momentul în care atacatorii au copiat fișierele de pe sistemele Berlinului. Scurgerea publică este pur și simplu etapa finală, cea mai vizibilă, a unei breșe care a început mult mai devreme.

Ce înseamnă aceasta pentru tine

Dacă ești rezident al Berlinului sau angajat public, sau dacă interacționezi cu serviciile municipale din departamentele afectate, există o șansă rezonabilă ca o parte din informațiile tale personale să fi fost incluse în fișierele furate. Cea mai sigură presupunere este că orice date deținute de un birou guvernamental afectat ar trebui tratate ca fiind potențial expuse.

Pașii practici includ monitorizarea conturilor financiare și a rapoartelor de credit pentru activitate neobișnuită, fiind atent la e-mailuri sau apeluri de phishing care fac referire la detalii personale ce ar fi putut proveni dintr-o înregistrare guvernamentală scursă, și schimbarea parolelor pentru orice conturi legate de servicii guvernamentale dacă datele de autentificare au făcut parte din materialul expus. Autentificarea cu mai mulți factori rămâne una dintre cele mai eficiente apărări împotriva încercărilor de preluare a conturilor care urmează unor scurgeri de date mari ca aceasta.

Concluzii cheie

Scurgerea de ransomware Rhysida împotriva guvernului din Berlin este o reamintire că extorcarea prin ransomware nu se termină atunci când o răscumpărare rămâne neplătită – adesea trece doar la expunerea publică. Pentru rezidenții și angajații conectați la sistemele afectate, vigilența în privința furtului de identitate și a phishingului este cea mai imediată apărare. Pentru instituțiile publice în general, incidentul se adaugă unui corp tot mai mare de dovezi că rețelele guvernamentale rămân ținte de mare valoare și că planurile de recuperare trebuie să țină cont de realitatea că datele furate pot ajunge publice indiferent de decizia luată cu privire la plată.