Tajne dokumenty Bundeswehry trafiły do sieci. Cyberprzestępcy spełnili groźby

Sytuacja wokół ataku grupy Rhysida na administrację Berlina znacząco się zaostrzyła, odkąd po raz pierwszy opisywaliśmy ją na naszych łamach. Po tym, jak władze nie zapłaciły 30 BTC (ok. 2 mln euro) żądanego okupu, a ultimatum cyberprzestępców wygasło, opublikowali oni 5,3 TB danych (1,4 mln plików) z deklarowanych 5,7 TB skradzionych informacji. Władze oficjalnie potwierdziły publikację 4 września.

Kraj związkowy Berlin padł ofiarą niezwykle poważnego przestępstwa.
Komunikat Biura Prasowego i Informacyjnego Kraju Związkowego Berlina

Urzędnicy i wynajęci informatycy śledczy mieli od razu rozpocząć analizę materiału. Dzień później Kancelaria Senatu ogłosiła też powołanie dodatkowej grupy zadaniowej, kierowanej przez Floriana Hauera, dyrektora ds. cyfryzacji. Jej zadaniem ma być „koordynacja przeglądu, analizy i oceny wyciekłych danych oraz wsparcie dwóch departamentów Senatu, których dotyczył wyciek, w informowaniu i doradzaniu obywatelom i przedsiębiorstwom”.

Jak się później okazało, była to wyjątkowo trafna decyzja. W nocy z 5 na 6 września Rhysida opublikowała bowiem kolejny pakiet danych. Berlin potwierdził, że znalazły się w nim m.in. dane dostępowe, co zmusiło administrację do zaostrzenia środków bezpieczeństwa.

Wyciek znacznie poważniejszy, niż początkowo zakładano

Skala wycieku jest znacznie poważniejsza, niż początkowo sugerowały władze, deklarując chociażby, że dane wrażliwe są bezpieczne.

„Der Tagesspiegel”, po analizie materiału i rozmowach z osobami zaangażowanymi w obsługę incydentu, opisuje, że wśród wykradzionych danych znalazły się m.in.:

• informacje o infrastrukturze krytycznej i zabezpieczeniu miasta na wypadek kryzysu – dotyczące m.in. elektrociepłowni, magazynów paliw, awaryjnych źródeł zasilania, stacji elektroenergetycznych i wodociągów; w tym analizy bezpieczeństwa zaopatrzenia Berlina w wodę i plany działania na wypadek sytuacji kryzysowych;
• poufne i tajne materiały o bezpieczeństwie państwa – informacje związane z więzieniami, przedsiębiorstwami z sektora zbrojeniowego, Bundeswehrą oraz berlińską administracją spraw wewnętrznych, dokumenty dotyczące przygotowania administracji i infrastruktury do funkcjonowania w czasie poważnego kryzysu lub konfliktu;
• dane osobowe pracowników administracji – m.in. prywatne numery telefonów i adresy, kopie dokumentów tożsamości, numery ubezpieczenia społecznego, informacje o wynagrodzeniach i rachunkach bankowych, akty urodzenia, dane emerytalne, akta osobowe, dokumenty dotyczące podróży służbowych i rekrutacji, dokumentacje rad pracowniczych, listy kontaktowe przygotowane na sytuacje kryzysowe.

Na razie nie da się jeszcze oszacować pełnego zakresu skutków. (...) Nawet władze federalne są zaniepokojone. (...) Niemcy stają się z dnia na dzień jeszcze bardziej podatne na ataki niż dotychczas. Dla przestępców i zagranicznych służb wywiadowczych to prawdziwy skarb. Może posłużyć do szantażu, kradzieży tożsamości, a – sytuacja jest aż tak poważna – nawet do sabotażu.
Tagesspiegel.de / Przetłumaczono z DeepL.com

Ustalenia „Der Spiegel” wskazują też, że wyciek dotyka instytucji federalnych. Wśród danych miało znaleźć się bowiem ponad 550 plików dotyczących rozbudowy Urzędu Kanclerskiego, w tym plany, ekspertyzy i stanowiska m.in. Krajowego Urzędu Policji Kryminalnej.

Wcześniej magazyn informował również o dziesiątkach tysięcy umów i spraw o wykroczenia oraz tysiącach plików zawierających dane logowania.

Wszystko przez phishing?

Według rekonstrukcji „Der Tagesspiegel”, początkiem ataku miał być phishing: pracownik senackiej administracji transportu kliknął link w fałszywy link, który otrzymał w prywatnej wiadomości. Należy mieć jednak na uwadze, że to na razie ustalenie prasowe, a nie końcowy wniosek śledczych.

Sam błąd użytkownika nie wyjaśnia też, dlaczego napastnicy mogli przez 5 dni kopiować tak duże ilości danych – i w ogóle dotrzeć do materiałów o tak wysokiej wrażliwości. 

Pojawiają się przy tym pytania o segmentację systemów, zakres uprawnień i sposób przechowywania informacji niejawnych.

Angaż CrowdStrike

Jak opisuje CyberNews, po ataku Berlin zaangażował amerykańską firmę CrowdStrike. Miała ona sprawdzić czy napastnicy nadal mają dostęp do miejskich systemów, i zabezpieczyć kolejne elementy infrastruktury.

W tym celu należało wdrożyć Falcona – oprogramowanie CrowdStrike, które monitoruje aktywność komputerów i na tej podstawie wykrywa podejrzane działania.

Nie wszystkim jednak spodobał się ten pomysł. Dzielnica Lichtenberg odmówiła jego instalacji, ze względu na jego zbyt szeroki dostęp do danych, możliwość monitorowania urządzeń i ryzyko zakłóceń w działaniu systemów.

Według niemieckich mediów, powołujących się na korespondencję Kancelarii Senatu z Lichtenbergiem, Senat uznał zastosowanie tego rozwiązania za „bezalternatywne”, zadeklarował przejęcie odpowiedzialności za jego wdrożenie i pokrycie związanych z nim kosztów.