Rhysida läcker 5,26 TB Berlin-statlig data på dark web

Vad hände: Rhysidas läcka på 5,26 TB

Lösengruppen Rhysida har publicerat 5,26 terabyte data som stulits från Berlins delstatsregering på dark web. Läckan följer ett välbekant mönster för gruppen: infiltrera ett nätverk, exfiltrera stora mängder känsliga filer, kräva betalning och släppa allt offentligt när offret vägrar betala. Detta senaste avslöjande är en del av en pågående historia som vpn.social har följt noggrant, inklusive Rhysidas tidigare publicering av nästan sex terabyte stulen Berlin-data och gruppens beslut att läcka Berlin-data efter att staden vägrat en lösensumma på 2 miljoner euro.

Läckor av statlig data av denna storlek är sällan engångshändelser. De tenderar att utvecklas i etapper, med initiala hot, deadlines, partiella publiceringar och till slut fullständig publicering när förhandlingarna kollapsar. Berlins fall tycks följa exakt den banan, med kulmen i denna läcka på 5,26 TB.

Vem är Rhysida och varför riktar de sig mot offentliga institutioner

Rhysida har varit aktiv sedan 2023 och har byggt upp ett rykte för att särskilt rikta sig mot två sektorer: vårdorganisationer och offentliga förvaltningar. Kända offer inkluderar Centro Hospitalar Universitário de Lisboa, ett stort sjukhusnätverk i Portugal, och till och med Vatikanen. Detta mönster är inte en tillfällighet. Sjukhus, stadsregeringar och religiösa institutioner drivs ofta på föråldrade IT-system, verkar under strama cybersäkerhetsbudgetar och innehar enorma mängder känsliga personuppgifter och administrativa data – exakt den kombination som gör dem till attraktiva mål för en grupp som söker högt värderad data med jämförelsevis svagare försvar.

Offer inom den offentliga sektorn står också inför ett unikt dilemma när de drabbas av lösengrupper. Att betala en lösensumma till en kriminell grupp väcker juridiska och etiska frågor, och det finns ingen garanti för att betalning förhindrar att data läcks eller säljs ändå. Att vägra betala innebär å andra sidan att data blir offentlig, vilket potentiellt utsätter medborgare, anställda och regeringsverksamhet för långvarig skada. Berlins regering har tidigare rapporterats ha vägrat en lösensumma i Bitcoin före en fastställd deadline, ett beslut som slutligen ledde till att data läcktes snarare än såldes eller undertrycktes.

Dubbel utpressning – spelboken

Rhysida använder en taktik som kallas dubbel utpressning. Istället för att bara kryptera filer och kräva betalning för en dekrypteringsnyckel stjäl gruppen först en kopia av data innan systemen låses. Detta ger dem två former av hävstång: offren pressas att betala både för att återfå åtkomst till sina egna system och för att förhindra att den stulna datan publiceras eller säljs. Om en lösensumma inte betalas genomför gruppen sitt hot genom att offentliggöra data, vilket har hänt upprepade gånger under Berlins fall, inklusive i en tidigare publicering som beskrevs som Berlin-regeringens data läckt efter vägran att betala lösensumma.

Dubbel utpressning har blivit allt vanligare bland lösengrupper just för att det fungerar. Även organisationer med solida backupsystem som kan återställa krypterade filer utan att betala står fortfarande inför hotet om offentlig dataexponering, vilket håller pressen uppe oavsett hur väl offrets katastrofåterställningsplan håller.

Vad detta innebär för dig

Om du bor i Berlin, arbetar inom stadens förvaltning eller har någon form av interaktion med de drabbade regeringssystemen är denna läcka värd att uppmärksamma. Läckor av offentlig förvaltningsdata som denna innehåller ofta personuppgifter kopplade till anställda och invånare, inte bara interna byråkratiska filer. Även om du inte direkt underrättats är det rimligt att anta att känslig information kopplad till offentliga tjänster kan cirkulera på dark web efter ett intrång av denna omfattning.

Mer generellt är denna incident en påminnelse om att lösengrupper i allt högre grad ser offentliga institutioner, inte bara företag, som förstahandsmål. Vårdsystem och statliga organ innehar data som är svår att ersätta och omöjlig att "avläcka" när den väl är ute. Denna verklighet sätter press på offentliga myndigheter att investera i starkare cybersäkerhetsförsvar, men det innebär också att individer bör vara uppmärksamma på tecken på att deras egna data exponerats utan deras egen förskyllan.

Att agera efter en statlig dataläcka

Om du tror att din information kan ha varit en del av denna eller en liknande läcka finns det praktiska åtgärder värda att vidta. Övervaka dina konton och eventuella statligt utfärdade identifikationsnummer för tecken på missbruk. Var försiktig med nätfiskeförsök som refererar till dina personuppgifter, eftersom läckt data ofta återanvänds för uppföljningsbedrägerier. Överväg att använda identitetsövervakningstjänster om de finns tillgängliga för dig, och håll dig informerad via officiella statliga kommunikationer om läckans omfattning och eventuellt stöd som erbjuds drabbade invånare.

Rhysida-lösengruppens historia i Berlin illustrerar hur en enda vägran att betala lösensumma kan eskalera till en massiv dataexponering i flera steg. I takt med att dessa incidenter fortsätter att utvecklas förblir det att hålla sig informerad om hur din data kan påverkas ett av de mest effektiva sätten att skydda sig i efterdyningarna.