Detalhes do ataque e do grupo criminoso
O grupo de ransomware Rhysida anunciou nesta sexta-feira (28) que abriu um leilão de uma grande quantidade de dados roubados de órgãos públicos de Berlim, na Alemanha. As autoridades municipais da cidade se recusaram a pagar o resgate, mantendo a postura de não submeter-se à extorsão. O grupo, que opera presumivelmente da Rússia ou da Europa Oriental, informou em seu site que roubou 5,79 terabytes de dados, incluindo 46.500 contratos, além de e-mails, números de telefone, senhas e informações confidenciais.
O ataque ocorre menos de um mês antes das eleições que a cidade-estado realizará em 20 de setembro, o que adiciona uma camada de sensibilidade política e de segurança nacional ao incidente. O leilão dos dados foi iniciado com um preço de 30 bitcoins, com duração de pouco menos de sete dias, exibindo uma contagem regressiva no site do grupo criminoso.
Escopo dos dados comprometidos
A extensão da violação ainda está sendo avaliada pelas autoridades, que não puderam fornecer detalhes completos sobre o conteúdo ou o escopo dos dados afetados. No entanto, a quantidade de 5,79 terabytes sugere um comprometimento massivo de registros governamentais. A inclusão de 46.500 contratos indica que dados comerciais e administrativos sensíveis foram exfiltrados.
A infraestrutura eleitoral da cidade não foi afetada, e segundo autoridades de segurança, nenhum dado relacionado à eleição havia sido comprometido. Isso é um alívio significativo, mas a exposição de dados de cidadãos e contratos públicos pode ter implicações de longo prazo para a privacidade e a segurança nacional da Alemanha.
Reação das autoridades e postura de não pagamento
O prefeito de Berlim, Kai Wegner, e a senadora do Interior de Berlim, Iris Spranger, emitiram um comunicado conjunto afirmando que "o estado de Berlim não se submeterá à extorsão". A emissora RBB informou na noite de quinta-feira que Berlim recebeu pedidos de resgate, mas não divulgou o valor exato solicitado.
A recusa em pagar o resgate é uma estratégia comum de governos que buscam desincentivar ataques futuros, mas também aumenta o risco de que os dados sejam vendidos ou divulgados publicamente. O grupo Rhysida tem histórico de atacar instituições governamentais, incluindo a Biblioteca Britânica em outubro de 2023, além de ataques ao Exército chileno, escolas e unidades de saúde.
Implicações para governos e setor público
Este ataque reforça a vulnerabilidade de infraestruturas governamentais a ransomwares sofisticados. A capacidade do Rhysida de comprometer dados de um governo de grande porte como o de Berlim demonstra a necessidade de investimentos robustos em segurança cibernética no setor público. A ameaça de vazamento de dados sensíveis pode ser mais prejudicial do que o tempo de inatividade dos sistemas.
Para o Brasil, o incidente serve como um alerta sobre a importância de planos de resposta a incidentes e a necessidade de conformidade com a LGPD em caso de vazamento de dados de cidadãos. A exposição de dados governamentais pode ter implicações legais e de reputação significativas.
Medidas de mitigação recomendadas
Organizações públicas e privadas devem revisar seus backups, garantindo que estejam isolados e imutáveis. A segmentação de rede e o monitoramento de tráfego anômalo são essenciais para detectar atividades de exfiltração. Além disso, a educação dos funcionários sobre phishing e engenharia social continua sendo uma linha de defesa crítica contra a entrada inicial de ransomwares.
O que fazer agora
Equipes de segurança devem monitorar os canais de comunicação do grupo Rhysida para verificar se os dados estão sendo vendidos. A verificação de integridade dos sistemas e a preparação para um possível vazamento público de dados são passos necessários. A colaboração com agências de inteligência e forças policiais pode ser necessária para rastrear os fundos e os atacantes.