Co Rhysida naprawdę zabrała
Rhysida twierdzi, że przejęła 5,79 terabajta danych z sieci administracyjnej berlińskiego kraju związkowego, rozproszonych na około 1,44 miliona plików. Grupa ransomware, działająca od 2023 roku i podejrzewana o działanie z Rosji lub Europy Wschodniej, opublikowała swoje roszczenie na stronie wycieku 28 sierpnia 2026 roku. Ta sama grupa wymienia już wcześniej British Library i armię chilijską wśród ofiar, więc nie jest to początkujący operator testujący taktykę na dużym celu rządowym.
Lista plików obejmuje umowy, e-maile, numery telefonów, hasła, materiały niejawne oraz dane płacowe i akta wykroczeń administracyjnych, z których każde dotyczy ponad 5000 akt personalnych. Rhysida twierdzi też, że posiada zrzuty baz danych SQL obejmujące okres od 2020 do 2026 roku oraz 3226 podpisanych umów o poufności. Dane osobowe dotyczące około 12 076 osób miały również zostać ujęte w tym zestawie, co niezależnie od reszty danych zdecyduje o obowiązkach zgłoszenia naruszenia.
Szczegół dotyczący wodociągów zmienia rachunek ryzyka
Ukryte na tej liście plików są oceny podatności wodociągów Berlina, i sama ta kategoria waży więcej niż liczba terabajtów. Akta personalne i dane płacowe to typowa zawartość komunalnego wycieku danych; udokumentowana mapa słabych punktów infrastruktury wodnej stolicy już nie. Kto teraz posiada tę ocenę, ma przewagę w ustaleniu, gdzie kolejny atak na infrastrukturę fizyczną wyrządziłby największe szkody, niezależnie od tego, czy napastnikiem jest sama Rhysida, nabywca na zapowiedzianej aukcji, czy niepowiązany aktor, który nigdy nie odwiedzi strony wycieku.
To rozróżnienie ginie, gdy wyciek danych podsumowuje się wyłącznie jego rozmiarem. Typowe ujawnienie ransomware przynosi zażenowanie, koszty zgłoszenia i ewentualnie oszustwa później. Ujawnienie zawierające dane o podatności infrastruktury tworzy listę celów. Media takie jak TheHackerNews, które relacjonowały wyciek, potraktowały szczegół o wodzie jako jedną linijkę wśród wielu; dla każdego odpowiedzialnego za infrastrukturę krytyczną powinien to być nagłówek.
Odmowa zapłaty rozwiązuje jeden problem, nie drugi
Burmistrz Berlina Kai Wegner i senator spraw wewnętrznych Iris Spranger wydali wspólne oświadczenie, że kraj związkowy nie ugnie się przed wymuszeniem, a to stanowisko samo w sobie da się obronić. Rhysida zażądała 30 bitcoinów, wartych w momencie żądania około 2 miliony euro, z terminem około siedmiu dni przed wystawieniem danych na aukcję. Zapłacenie okupu finansuje kolejny atak i nie daje wiążącej gwarancji, że skradzione kopie zostaną usunięte zamiast po cichu odsprzedane.
Czego odmowa nie robi, to nie przywraca danych. Gdy zestaw plików zostanie już wyeksfiltrowany i opublikowany na stronie wycieku, zapłata lub jej brak decyduje jedynie o tym, czy Rhysida opublikuje pełne archiwum, czy będzie kontynuować wymuszenie prywatnie; kopie już wykonane pozostają tak czy inaczej poza kontrolą Berlina. Urzędnicy twierdzą, że systemy i dane dotyczące wyborów 20 września nie zostały naruszone, co odpowiada na najpilniejsze pytanie, ale nic nie mówi o dostępie, jaki napastnicy mieli do sieci administracyjnej, zanim włamanie wykryto.
Czego NIS2 naprawdę wymaga od teraz
Dla operatorów objętych unijnym reżimem NIS2 postawa odmowy zapłaty jest wyborem politycznym, a nie odpowiedzią na wymogi zgodności. NIS2 nakłada na podmioty kluczowe i ważne obowiązki zarządzania ryzykiem, terminy zgłaszania incydentów oraz bezpieczeństwo łańcucha dostaw, a komunalne przedsiębiorstwo wodociągowe mieści się dokładnie w kategoriach, które dyrektywa ma chronić, w standardzie, do którego brytyjskie National Cyber Security Centre skłania operatorów nawet poza reżimem UE. Pytanie, jakie stawia NIS2, nie brzmi, czy Berlin zapłacił okup, lecz czy dane o podatnościach, które Rhysida teraz posiada, w ogóle powinny być dostępne z tej samej sieci co dane płacowe i archiwa umów.
Kategorie, które Rhysida twierdzi, że posiada, ilustrują skalę ekspozycji w jednym incydencie:
| Kategoria danych | Zgłoszona skala |
|---|---|
| Umowy | 46 500 |
| Akta personalne | ponad 5000 |
| Akta wykroczeń administracyjnych | ponad 5000 |
| Umowy o poufności | 3226 |
| Osoby z ujawnionymi danymi osobowymi | około 12 076 |
Segmentacja między danymi administracyjnymi a danymi technologii operacyjnej lub ocenami podatności infrastruktury krytycznej to dokładnie ten rodzaj kontroli, który NIS2 oczekuje zobaczyć udokumentowany, przetestowany i zgłoszony, a nie zakładany. Organizacja, która potrafi wykazać, że posegmentowała te dane, nawet jeśli segmentacja zawiodła, jest w innej sytuacji niż ta, która nigdy ich nie rozdzieliła.
Dlaczego to robimy
Robimy to dla wszystkich, którzy próbują nadążyć za tym, co technologia robi z naszym życiem. Dla ludzi, którzy ją budują, i dla ludzi, których to dotyka. Servola Journal istnieje po to, aby to, czego się uczymy, należało do nich wszystkich.
Nikt nam za to nie płaci. Żadnych reklam, żadnego paywalla, za darmo dla wszystkich. Po prostu wierzymy, że zrozumienie tego, co dzieje się z nami wszystkimi, nie powinno zależeć od tego, kogo na to stać.
Jeśli dzisiaj coś ci to dało, powiedz nam, żebyśmy kontynuowali. Obserwuj nas, zostaw polubienie, albo napisz pozytywny komentarz. Czytamy każdy z nich, i to one sprawiają, że działamy dalej.
Czytaj dalej: Wyciek Beacon nie mieści się w żadnej siatce ochronnej | SI przeprowadziła cały ten atak ransomware sama
