Rhysida har nu et kort over Berlins vandsvagheder

Hvad Rhysida faktisk tog

Rhysida hævder at have taget 5,79 terabyte data fra Berlins delstatslige forvaltningsnetværk, fordelt på omkring 1,44 millioner filer. Ransomware-gruppen, aktiv siden 2023 og formodet at operere fra Rusland eller Østeuropa, offentliggjorde sin påstand på en læk-side den 28. august 2026. Samme gruppe tæller allerede British Library og den chilenske hær blandt tidligere ofre, så det er ikke en ny aktør, der afprøver taktikker på et stort statsligt mål.

Fillisten omfatter kontrakter, e-mails, telefonnumre, adgangskoder, klassificeret materiale samt løn- og forseelsesfiler, der hver berører over 5.000 personalefiler. Rhysida hævder også at besidde SQL-databasedumps, der dækker perioden 2020 til 2026, samt 3.226 underskrevne fortrolighedsaftaler. Personoplysninger om angiveligt omkring 12.076 personer skulle også indgå, et tal der uafhængigt af resten vil bestemme pligten til at underrette om bruddet.

Detaljen om vandforsyningen ændrer risikobilledet

Gemt i den filliste findes sårbarhedsvurderinger af Berlins vandforsyning, og netop den kategori vejer tungere end terabyte-tallet. Personalefiler og lønoplysninger er det sædvanlige indhold i et kommunalt datalæk; et dokumenteret kort over svage punkter i en hovedstads vandinfrastruktur er det ikke. Den, der nu besidder den vurdering, har et forspring i at identificere, hvor et efterfølgende angreb mod fysisk infrastruktur ville gøre mest skade, uanset om angriberen er Rhysida selv, en køber ved den truede auktion, eller en ubeslægtet aktør, der aldrig besøger læk-siden.

Denne skelnen går tabt, når et datalæk kun opsummeres ud fra sin størrelse. En typisk ransomware-offentliggørelse medfører forlegenhed, underretningsomkostninger og muligvis svindel senere hen. En offentliggørelse, der inkluderer sårbarhedsdata om infrastruktur, giver en målliste. Medier som TheHackerNews, der dækkede lækket, behandlede vanddetaljen som en linje blandt mange; for enhver, der er ansvarlig for kritisk infrastruktur, burde det være overskriften.

At nægte at betale løser ét problem, ikke det andet

Berlins overborgmester Kai Wegner og indenrigssenator Iris Spranger udsendte en fælles udtalelse om, at delstaten ikke vil bøje sig for afpresning, en holdning der kan forsvares i sig selv. Rhysida krævede 30 bitcoin, dengang omkring 2 millioner euro værd, med en frist på cirka syv dage, før dataene ville blive sat på auktion. At betale løsesum finansierer det næste angreb og giver ingen bindende garanti for, at stjålne kopier bliver slettet i stedet for stille solgt videre.

Det, afslaget ikke gør, er at få dataene tilbage. Når først et sæt filer er blevet eksfiltreret og offentliggjort på en læk-side, afgør betaling eller ej kun, om Rhysida offentliggør hele arkivet eller fortsætter afpresningen privat; de allerede lavede kopier er under alle omstændigheder uden for Berlins kontrol. Myndighederne har sagt, at systemer og data til valget den 20. september er upåvirkede, hvilket besvarer det mest presserende spørgsmål, men intet siger om den adgang, angriberne havde til forvaltningsnetværket, før indtrængen blev opdaget.

Hvad NIS2 reelt kræver herfra

For operatører under EU's NIS2-regime er en holdning om ikke at betale et politisk valg, ikke et compliance-svar. NIS2 pålægger væsentlige og vigtige enheder pligter om risikostyring, tidsfrister for indberetning af hændelser og sikkerhed i forsyningskæden, og et kommunalt vandselskab falder præcis inden for de kategorier, direktivet skal beskytte, den slags standard som det britiske National Cyber Security Centre presser operatører mod, selv uden for EU's regime. Spørgsmålet, NIS2 stiller, er ikke, om Berlin betalte løsesummen, men om de sårbarhedsdata, Rhysida nu besidder, overhovedet burde have kunnet tilgås fra samme netværk som lønoplysninger og kontraktarkiver.

De kategorier, Rhysida hævder at besidde, illustrerer omfanget af eksponeringen i én hændelse:

Adskillelse mellem forvaltningsdata og data om driftsteknologi eller vurderinger af kritisk infrastruktur er præcis den type kontrol, NIS2 forventer at se dokumenteret, testet og indberettet, ikke blot antaget. En organisation, der kan påvise, at den har adskilt de data, selv hvis adskillelsen fejlede, står anderledes end en, der aldrig adskilte dem.

Hvorfor vi gør dette

Vi gør dette for alle, der forsøger at følge med i, hvad teknologi gør ved vores liv. De mennesker, der bygger den, og de mennesker, det sker for. Servola Journal findes, så det, vi lærer, tilhører dem alle.

Ingen betaler os for dette. Ingen annoncer, ingen betalingsmur, gratis for alle. Vi tror simpelthen på, at forståelse af, hvad der sker med os alle, ikke bør afhænge af, hvem der har råd til at betale for den.

Hvis dette gav dig noget i dag, så sig til, at vi skal fortsætte. Følg os, læg et like, eller skriv en positiv kommentar. Vi læser hver eneste én, og de er det, der holder os i gang.

Læs videre: Beacons brud falder uden for ethvert sikkerhedsnet  |  En AI kørte hele dette ransomware-angreb selv