Atak cyberprzestępców w Berlinie: osiem kluczowych pytań i odpowiedzi

Jak w ogóle mogło dojść do tego ataku?

Na razie nie ma ostatecznej odpowiedzi. Berlińska administracja landowa wciąż bada, w jaki sposób napastnicy włamali się do systemów IT i jak wyprowadzili z nich dane. Dlatego na tym etapie jest za wcześnie, by jako przyczynę wskazywać konkretną lukę bezpieczeństwa lub zawinienie pojedynczych osób odpowiedzialnych.

REKLAMA

REKLAMA

Pewne jest natomiast, że grupa cyberprzestępcza miała najwyraźniej przez dłuższy czas dostęp do systemów berlińskiej administracji landowej. Trwające analizy kryminalistyczne mają teraz ustalić, kiedy dokładnie zaczął się atak, które systemy zostały przejęte i w jakim stopniu zawiodły zabezpieczenia.

Dla politycznego rozliczenia kluczowe będzie pytanie: jak chroniono te systemy i czy sygnały ostrzegawcze oraz luki w zabezpieczeniach nie zostały dostrzeżone zbyt późno?

Czy sprawa dotyczy służb bezpieczeństwa i infrastruktury krytycznej?

Tego również jeszcze nie wiadomo. Według doniesień wśród opublikowanych danych znajdują się materiały istotne z punktu widzenia bezpieczeństwa, na przykład folder o nazwie „AG CBRN-Rahmenplanung”. CBRN to skrót od zagrożeń chemicznych, biologicznych, radiologicznych i nuklearnych.

Atak może dotyczyć pracowników berlińskiej administracji landowej, których dane osobowe – takie jak numery telefonów, adresy zamieszkania czy odpisy aktów urodzenia – pojawiają się w udostępnionych plikach, ale także mieszkańców i innych osób, których dane przetwarzały berlińskie urzędy.

Wciąż trwa ustalanie, czy bezpośrednio dotknięte są również policja, straż pożarna, służby ratunkowe oraz operatorzy infrastruktury krytycznej. Ze względu na ogromną liczbę danych na razie nie ma pełnego obrazu sytuacji.

Największe obawy budzą dokumenty związane z bezpieczeństwem. Jeśli na przykład plany awaryjne, projekty budowlane lub informacje o sytuacjach CBRN są rzeczywiście w pełni dostępne publicznie, jak twierdzi grupa cyberprzestępcza, mogłoby to rodzić ryzyko dla urzędów, służb ratunkowych, a być może także dla infrastruktury krytycznej.

Czy wyciekł rzeczywiście około 1,4 mln plików – i co dokładnie zawierają?

Skala wycieku jest znana: chodzi o kilka terabajtów danych i prawdopodobnie 1 439 893 pliki. Dokładna liczba oraz pełna zawartość pakietu danych są wciąż analizowane.

Grupa cyberprzestępcza Rhysida twierdzi, że wśród plików znajduje się między innymi ponad 5 tys. akt osobowych, pasków płacowych, spraw dotyczących mandatów i kar, poufnych dokumentów, a także dane logowania i hasła.

Na razie nie wiadomo, które z tych twierdzeń są prawdziwe i jak wiele wrażliwych danych faktycznie zostało objętych wyciekiem.

Kto stoi za grupą Rhysida?

Rhysida to profesjonalnie zorganizowana grupa cyberprzestępcza, działająca od 2023 r. i wykorzystująca oprogramowanie ransomware. Grupa szyfruje lub kradnie dane, a następnie próbuje wymuszać okup, grożąc ich upublicznieniem.

Tożsamość osób stojących za Rhysidą nie została dotąd ujawniona. Od momentu pojawienia się w czerwcu 2023 r. grupa – według serwisów śledzących działalność cyberprzestępców – przypisała sobie setki ataków, wymierzonych między innymi w urzędy, szpitale, placówki edukacyjne i firmy. Wśród znanych ofiar jest m.in. British Library.

Wówczas hakerzy ukradli około 600 gigabajtów danych i po odmowie zapłaty okupu opublikowali je w darknecie, a jednocześnie sparaliżowali znaczną część infrastruktury IT. Placówka do dziś zmaga się ze skutkami ataku z 2023 r.

W przypadku ataku na Berlin oznacza to, że nie ma obecnie dowodów na to, iż stoi za nim jakieś państwo. Z dotychczasowych ustaleń wynika, że chodzi o kryminalną grupę ransomware, która chce zarobić na skradzionych danych.

Rhysida zażądała od władz Berlina 30 bitcoinów – około 2 mln euro – i groziła publikacją wykradzionych danych. Senat Berlina odmówił zapłaty. Po upływie ultimatum sprawcy rzeczywiście udostępnili pakiet danych w darknecie.

Nie wiadomo, skąd dokładnie działa Rhysida. Eksperci przypuszczają, że stoją za nią osoby z Europy Wschodniej.

Czy Rhysida może opublikować kolejne dane?

Takiego scenariusza nie można dziś wykluczyć. Rhysida opublikowała już sporą część skradzionych informacji, ale wciąż nie ma pewności, czy do sieci trafiły wszystkie dane. Berlińska administracja landowa sprawdza, czy poza dotychczas znanym pakietem nie wyciekły kolejne informacje.

Istnieje też ryzyko, że już opublikowane dane będą dalej rozpowszechniane, kopiowane lub analizowane przez innych przestępców. Federalny Urząd ds. Bezpieczeństwa Informacji (BSI) ostrzega wyraźnie przed możliwymi wtórnymi atakami, na przykład ukierunkowanym phishingiem i próbami oszustw.

Pierwotny wyciek jest już publiczny, ale to nie oznacza końca zagrożenia. Kluczowe jest teraz, czy Rhysida wciąż dysponuje dodatkowymi danymi oraz czy już ujawnione informacje będą dalej rozpowszechniane lub wykorzystywane do nowych ataków.

Jak można było zapobiec temu atakowi?

Rzetelnej odpowiedzi będzie można udzielić dopiero po zakończeniu analiz kryminalistycznych. Dokładny sposób, w jaki hakerzy dostali się do systemu, nie został dotąd podany do wiadomości publicznej. Wiadomo jednak, że atak wykryto 14 sierpnia, po tym jak napastnicy między 7 a 12 sierpnia wyprowadzili z systemu dane. Następnie zaatakowane urzędy odłączono od sieci landowej.

Zasadniczo kilka środków ochrony mogło zmniejszyć ryzyko takiego ataku: konsekwentne instalowanie poprawek i aktualizowanie systemów IT, silne kontrole dostępu i uwierzytelnianie wieloskładnikowe, lepsze rozdzielenie poszczególnych segmentów sieci oraz ciągłe monitorowanie nietypowych transferów danych.

W tym kontekście istotne jest ustalenie berlińskiego Trybunału Obrachunkowego: już w 2024 r. krytykował on w jednej z administracji senackich między innymi samodzielnie opracowaną zaporę sieciową, której zadania i zmiany konfiguracji nie były należycie dokumentowane. Ponadto dostępne profesjonalne zapory ogniowe nie były właściwie wykorzystywane ani regularnie aktualizowane.

Nie ma jednak dowodów, że to właśnie te luki, a nie inne słabości systemu, umożliwiły obecny atak Rhysidy.

Czy można jeszcze zatrzymać wyciek i usunąć dane z sieci?

Raz upublicznionych danych praktycznie nie da się już w pełni odzyskać. Nawet jeśli pierwotna strona z wyciekiem zostanie wyłączona, hakerzy, inni przestępcy lub osoby trzecie mogły już pobrać pliki, skopiować je i udostępnić gdzie indziej.

Berlińskie władze mogą jednak próbować usuwać poszczególne publikacje i ograniczać dalsze rozpowszechnianie materiałów. Równolegle chodzi o blokowanie przejętych kont, resetowanie haseł i danych logowania oraz lepszą ochronę szczególnie wrażliwych informacji.

Trzeba się jednak liczyć z twardą rzeczywistością: co raz trafiło do sieci, rzadko daje się całkowicie usunąć. Teraz priorytetem jest ograniczenie dalszego rozprzestrzeniania się danych i ewentualnych szkód wtórnych tak bardzo, jak to możliwe.

Kto i kiedy poinformuje osoby poszkodowane?

Kraj związkowy Berlin wyraźnie potwierdził, że poza pracownikami administracji wyciek może objąć także dane osobowe mieszkańców i przedsiębiorstw.

Dlatego dla wielu berlińczyków kluczowe jest dziś pytanie: czy ich dane osobowe trafiły do darknetu – i kto ich o tym poinformuje? Administracja musi najpierw ustalić, jakie informacje faktycznie wyciekły i z jakimi osobami można je powiązać.

Do tego czasu wiele osób wciąż nie wie: czy padłem ofiarą wycieku, a jeśli tak – które z moich danych krążą w sieci?

WAŻNE: jeśli Państwa dane osobowe rzeczywiście zostały ujawnione w wyniku tego wycieku, co do zasady można rozważać roszczenie o odszkodowanie. Podstawą jest artykuł 82 ogólnego rozporządzenia o ochronie danych (RODO). To, czy roszczenie faktycznie przysługuje i jak wysoka mogłaby być ewentualna rekompensata, zależy jednak od okoliczności konkretnego przypadku.