Berlin trotsar Rhysida-ransomwarens fredagsfrist

Vad hände i Berlinincidenten med ransomware

Berlinattacken med Rhysida-ransomware har blivit den senaste påminnelsen om att offentliga institutioner är primära mål för utpressningsligor, och att betala anses inte längre vara ett hållbart alternativ av många regeringar. Berlins delstatsregering bekräftade att angripare infiltrerade dess nätverk och stal data, och tjänstemän har offentligt uttalat att de inte kommer att betala den lösen som krävts för att hålla informationen privat.

Gruppen bakom attacken, Rhysida, är en ransomware- och utpressningsverksamhet som misstänks ha kopplingar till Ryssland. Enligt rapportering satte Rhysida en fredagsfrist för Berlins regering och hotade att släppa det stulna materialet om lösen inte betalades. Angriparna hävdar att de exfiltrerat 5,79 TB data från Berlins delstatsnätverk, en volym som är tillräckligt stor för att potentiellt inkludera ett brett spektrum av administrativa, personalrelaterade och medborgarnära register. För en djupare genomgång av själva incidenten, den ursprungliga bevakningen av Berlins avvisande av Rhysidas lösenkrav beskriver tidslinjen och omfattningen av stölden mer i detalj.

Varför regeringar vägrar att betala lösenkrav från ransomware

Berlins beslut följer ett bredare mönster som framträtt bland offentliga sektorns offer för ransomware. Regeringsorgan vägrar allt oftare att förhandla med utpressningsgrupper, även när volymen stulen data är betydande, och även när angripare sätter hårda deadlines utformade för att pressa fram en snabb betalning.

Det finns praktiska skäl bakom denna hållning. Att betala en lösen garanterar inte att stulen data raderas eller hålls konfidentiell. Utpressningsgrupper som Rhysida verkar utanför alla verkställbara avtal, och organisationer som betalar ett krav kan bli återkommande mål. Offentliga institutioner möter också ökad granskning: att använda skattemedel för att betala kriminella grupper, vissa med misstänkt statligt eller organiserad brottslighet-stöd, skapar juridiska och politiska komplikationer som privata företag inte alltid möter på samma sätt.

Resultatet är att när regeringsnätverk bryts mot, kan medborgare vars data finns i dessa system ofta inte lita på att en lösenbetalning skyddar deras information. Oavsett om Berlin betalar eller inte, innebär det faktum att 5,79 TB redan kopierats ut ur nätverket att exponeringen, i praktisk mening, redan har skett.

Vad ett dataintrång på 5,79 TB innebär för drabbade medborgare

Ett intrång av denna storlek är betydelsefullt inte på grund av siffran i sig, utan på grund av vad regeringsnätverk vanligtvis lagrar: identifikationshandlingar, skatte- och förmånsinformation, anställningsregister och korrespondens mellan myndigheter och invånare. När en ransomware-grupp hävdar att de innehar data av denna skala från en delstatsregering, är det säkraste antagandet för alla som är kopplade till den jurisdiktionen att viss personlig information kan ha inkluderats, oavsett om den någonsin publiceras.

Detta är en användbar tankemodell för alla invånare som drabbats av ett intrång inom offentlig sektor: behandla möjligheten till exponering som verklig från det ögonblick en attack bekräftas, inte från det ögonblick stulna filer faktiskt dyker upp online. Ransomware-grupper publicerar ibland prover för att bevisa sina påståenden, ibland läcker de fullständiga dataset efter att en frist passerat, och ibland släpper de aldrig något alls om de hittar ett annat sätt att tjäna pengar. Att vänta på bekräftelse innan man vidtar skyddsåtgärder slösar dyrbar tid.

Detta mönster är inte unikt för Berlin. Ransomware-grupper har upprepade gånger riktat in sig på offentlig infrastruktur och allmännyttiga tjänster, inklusive fallet med Qilin-ransomware som drabbade Grayson Rural Electric Cooperative, en elleverantör som betjänar kunder i flera counties. Dessa incidenter visar att attacker mot regeringar och offentlig infrastruktur är en återkommande risk, inte en isolerad händelse.

Hur individer kan skydda sin data när offentliga institutioner drabbas av intrång

Medborgare kan i allmänhet inte kontrollera om ett regeringsnätverk blir inträngt, men det finns steg som minskar personlig risk efter att ett sådant sker:

• Håll utkik efter officiella anmälningar om intrång från din lokala eller statliga regering och följ eventuella råd de ger om berörda tjänster.
• Kontrollera kreditupplysningar och finansutdrag oftare om du interagerar med regeringstjänster som lagrar finansiell- eller förmånsdata.
• Använd unika, starka lösenord för alla statliga portaler eller medborgartjänstkonton och aktivera flerfaktorsautentisering där det erbjuds.
• Var försiktig med nätfiskeförsök som hänvisar till intrånget, eftersom angripare ibland använder nyheter om en läcka för att skapa övertygande bluffmeddelanden.
• Överväg att frysa din kredit om du tror att mycket känslig identifieringsdata kan ha inkluderats i de stulna filerna.

Vad detta innebär för dig

Berlinattacken med Rhysida-ransomware är en fallstudie i en trend som sannolikt kommer att fortsätta: offentliga institutioner står fast mot utpressningskrav, medan den underliggande risken för dataexponering för medborgare kvarstår oavsett utfall. Att vägra betala är ofta rätt beslut ur ett politiskt perspektiv, men det raderar inte det faktum att känsliga register redan kan vara i kriminella händer. För invånare kopplade till ett inträngt regeringssystem är den praktiska responsen densamma oavsett om en lösen slutligen betalas eller inte: anta viss exponering, övervaka konton och skärp personliga säkerhetsrutiner kopplade till regeringstjänster.

Allt eftersom ransomware-grupper fortsätter att rikta in sig på offentlig infrastruktur, från delstatsregeringar till elkooperativ, är att hålla sig informerad om dessa incidenter och granska din egen risk för dataexponering en av de få konkreta åtgärder som finns tillgängliga för individer. Läsare som vill ha fullständiga detaljer om Berlinincidenten kan granska den ursprungliga bevakningen som länkats ovan, och de som är intresserade av hur ransomware påverkar samhällsviktiga tjänster bör också titta på Grayson Rural Electric Cooperative-fallet som ett annat exempel på offentlig infrastruktur under attack.