Χάκερ δημοσίευσαν κλεμμένα αρχεία της διοίκησης του Βερολίνου

Λύτρα δεν πληρώθηκαν. Τα κλεμμένα αρχεία της κρατιδιακής διοίκησης βγήκαν δημόσια, και δεν ανακαλούνται.

Μια συμμορία κυβερνοεκβιαστών, η Rhysida, ανάρτησε στο διαδίκτυο τα δεδομένα που είχε κλέψει από τη διοίκηση του γερμανικού κρατιδίου του Βερολίνου. Τα αρχεία είναι πλέον δημόσια, και δεν υπάρχει γυρισμός. Στις 4 Σεπτεμβρίου, μόλις έληξε το τελεσίγραφο των δραστών, το υλικό έγινε πράγματι διαθέσιμο για λήψη, μετατρέποντας μια γνωστή εδώ και εβδομάδες παραβίαση σε οριστική δημόσια έκθεση προσωπικών και διοικητικών στοιχείων (Berlin.de, Tagesschau).

Είναι το τελευταίο επεισόδιο σε ένα μοτίβο που παρακολουθούμε: κυβερνοεκβιασμοί που χτυπούν τα συστήματα γύρω από κρίσιμες υπηρεσίες. Πριν λίγες ημέρες, στοιχεία 8,7 εκατ. πελατών από εξωτερικές υπηρεσίες βρετανικών αεροδρομίων (To Brief). Αυτή τη φορά, το πλήγμα έπεσε στο ίδιο το διοικητικό δίκτυο ενός κρατιδίου.

Τι έγινε, βήμα προς βήμα

Το περιστατικό δεν ξέσπασε χθες. Σύμφωνα με τη Γερουσία του Βερολίνου, ο μεγάλος όγκος δεδομένων διέρρευσε μεταξύ 7 και 12 Αυγούστου από τον τομέα της κρατιδιακής Διεύθυνσης Κινητικότητας, Μεταφορών και Περιβάλλοντος (Berlin.de). Στις 14 Αυγούστου, για να μην εξαπλωθεί η επίθεση, οι αρχές αποσύνδεσαν δύο ολόκληρες διευθύνσεις, της Κινητικότητας και της Αστικής Ανάπτυξης, από το κοινό κρατιδιακό δίκτυο, το Landesnetz. Η ζημιά έφτασε γρήγορα στους πολίτες: καθυστερήσεις στο επίδομα στέγασης (Wohngeld) και σε παροχές για παιδιά και νέους, επειδή διαδικασίες των δήμων εξαρτώνται από τα συστήματα των απομονωμένων υπηρεσιών (Berlin.de). Στις 23 Αυγούστου οι δύο υπηρεσίες επανασυνδέθηκαν και ήταν «καταρχήν λειτουργικές».

Έπειτα η υπόθεση άλλαξε φάση. Στα τέλη Αυγούστου η Rhysida έβγαλε το υλικό σε δημοπρασία στο dark web, ζητώντας περίπου 30 bitcoin, γύρω στα 2 εκατ. ευρώ. Η Γερουσία αρνήθηκε να πληρώσει (rbb24, Handelsblatt). Το τελεσίγραφο έληξε, και το πακέτο δημοσιεύθηκε.

Γιατί, όμως, μια αποκατεστημένη υπηρεσία εξακολουθεί να είναι πρόβλημα; Το κλασικό λογισμικό ομηρίας (ransomware) ήταν σαν κάποιος να κλειδώνει τους φακέλους της υπηρεσίας και να ζητά λύτρα για το κλειδί. Η Rhysida ανήκει σε μια νεότερη γενιά που κάνει «διπλό εκβιασμό»: πρώτα φωτοτυπεί τους φακέλους και μετά απειλεί: «πληρώστε, αλλιώς τους μοιράζω». Ακόμη κι όταν η υπηρεσία ξανανοίξει, τα αντίγραφα που κυκλοφόρησαν δεν ανακαλούνται. Αντιγράφονται, πωλούνται, τροφοδοτούν στοχευμένες απάτες phishing και εκθέτουν τη σχέση του πολίτη με το κράτος. Η ομάδα είναι ήδη καταγεγραμμένη σε προειδοποίηση των αμερικανικών αρχών ασφαλείας για ακριβώς αυτό το μοτίβο κρυπτογράφησης και κλοπής δεδομένων (CISA).

Τι είναι επιβεβαιωμένο και τι όχι

Πόσα ακριβώς διέρρευσαν; Εδώ χρειάζεται προσοχή, γιατί οι τίτλοι τρέχουν μπροστά από την επίσημη εικόνα. Ο αριθμός που κυκλοφορεί, περίπου 1,44 εκατ. αρχεία (γύρω στα 5,8 terabyte δεδομένων), με αναφορές σε κωδικούς, φακέλους προσωπικού και σχέδια υποδομών, είναι η καταμέτρηση και η περιγραφή των ίδιων των δραστών, όχι ανεξάρτητα επαληθευμένα στοιχεία (Spiegel). Η διοίκηση επιβεβαιώνει την επίθεση, τη διαρροή και την πιθανή έκθεση στοιχείων υπαλλήλων, πολιτών και επιχειρήσεων. Δεν έχει όμως επικυρώσει τι ακριβώς περιέχει το πακέτο, κάτι που θα φανεί μόνο όταν ολοκληρωθεί η ανάλυση από τους ειδικούς (Berlin.de).

Το ότι το πλήγμα βρέθηκε μέσα στο ίδιο το διοικητικό δίκτυο του κρατιδίου είναι που ανεβάζει το πραγματικό ύψος της υπόθεσης. Όπως μετέδωσε το τοπικό δίκτυο rbb, οι δύο υπηρεσίες διαχειρίζονταν τον δικό τους τομέα του Landesnetz, έξω από τον κεντρικό κρατικό πάροχο πληροφορικής (rbb24). Το ερώτημα, δηλαδή, δεν είναι πια αν έφταιξε κάποιος προμηθευτής, αλλά πόσο καλά χωρίζει και φυλάει το κράτος τα δικά του, εσωτερικά δίκτυα. Το πώς μπήκαν οι δράστες παραμένει δημόσια άγνωστο· δεν έχει δοθεί τεχνική έκθεση για το αρχικό σημείο εισόδου.

Για τους πολίτες, τους υπαλλήλους και τις επιχειρήσεις του Βερολίνου, το ζήτημα δεν είναι πια πότε θα ξαναδουλέψουν τα συστήματα. Είναι μια μακρά ουρά επαγρύπνησης. Οι αρχές λένε ότι, καθώς προχωρά η ανάλυση, θα ειδοποιούν απευθείας όσους ταυτοποιούνται μέσα στα δεδομένα, όπως επιβάλλει ο ευρωπαϊκός κανονισμός GDPR για παραβιάσεις με υψηλό κίνδυνο (EUR-Lex). Όποιος δει τα δικά του στοιχεία ανάμεσα στα δημοσιευμένα καλείται να το καταγγείλει στην αστυνομία μέσω της διαδικτυακής πύλης καταγγελιών (Internetwache) (Berlin.de). Στην πράξη, ένα email ή μια επιστολή που μοιάζει να έρχεται από την υπηρεσία στέγασης μπορεί από εδώ και πέρα να είναι δόλωμα. Τα δεδομένα που κλάπηκαν δεν επιστρέφουν στο συρτάρι. Γίνονται, για χρόνια, πρώτη ύλη για απάτες.