Адміністрація Берліна підтвердила спробу вимагання з боку кіберзлочинців після того, як група Rhysida ransomware внесла місто до списку на своєму сайті витоку даних.
Про атаку стало відомо в середині серпня, а зловмисники оприлюднили інформацію минулої п’ятниці, 28 серпня.
Кай Вергнер, мер Берліна, заявив, що місто не сплачуватиме зловмисникам. Наразі інцидентом займаються Державне управління кримінальної поліції, прокуратура та федеральні служби безпеки.
Rhysida ransomware діє з середини 2023 року, націлюючись на медичні заклади, державні органи, освітні установи та об’єкти критичної інфраструктури.
Зловмисники стверджують, що викрали 5,79 ТБ даних, що становить приблизно 1,44 мільйона файлів, з адміністративної мережі Берліна.
За даними зловмисників, було викрадено такі типи інформації:
- Урядові, юридичні, фінансові, договірні, кадрові, інфраструктурні, медичні та картографічні записи.
- Тисячі імен, електронних адрес, телефонних номерів та 148 номерів IBAN.
- Облікові дані у відкритому вигляді, облікові записи баз даних, дані платіжних систем, сховища паролів та облікові дані високопосадовців.
- Кадрові справи, інформація про заробітну плату, протоколи про адміністративні правопорушення, архіви електронної пошти, дампи баз даних SQL, документи, що посвідчують особу, та банківська інформація.
- Документи, пов’язані з дисциплінарними провадженнями та іншими названими справами.
- Нібито класифіковані або конфіденційні державні матеріали, включаючи записи комітету Бундесрату та інформацію про роботу з секретними документами.
- Оцінки безпеки критичної інфраструктури, що стосуються водопостачання Берліна.
- Понад 3200 документів з позначкою “угода про нерозголошення”.
Зловмисники використовують порушення GDPR як важіль тиску на уряд Берліна, даючи жертві чотири дні (на момент написання) на сплату, перш ніж опублікувати викрадені файли.
За даними слідчих, зловмисники також викрали дані з Сенатського департаменту мобільності, транспорту, захисту клімату та навколишнього середовища, ймовірно, між 7 та 12 серпня.
Уражені сенатські департаменти були відключені від державної мережі 14 серпня.
У повідомленні зазначено, що розслідування триває, і обсяг викрадення даних ще належить визначити.
Сенаторка Іріс Шпрангер заявила, що посадовці не знайшли доказів компрометації виборчих даних, і технічне середовище, що підтримує майбутні вибори до Палати представників Берліна, вважається безпечним.
Метод проникнення, який Rhysida використовувала в цій атаці, не розголошується. У попередній кампанії, яку припинила Microsoft, оператори ransomware використовували шкідливі інсталятори Teams для зламу цілей.
Коли зловмисники отримують дійсні облікові дані, блокується лише 37% їхніх дій
Загальні показники запобігання можуть приховувати те, що відбувається після початкового доступу. Як тільки зловмисники використовують дійсні облікові дані, рівень запобігання різко падає.
Звіт Blue Report 2026 вимірює захист техніка за технікою на основі 338 мільйонів симуляцій, проведених у виробничих середовищах клієнтів.
Джерело новини: www.bleepingcomputer.com