ベルリン市当局は、Rhysidaランサムウェアグループが自らのデータリークサイトに同市の名を掲載したことを受け、サイバー犯罪者が市当局に対して恐喝を試みていることを認めました。
この攻撃は8月中旬に発覚し、脅威アクターは先週金曜日の8月28日にこの件を公に主張しました。
ベルリン市長のカイ・ヴェグナー氏は、市が攻撃者に身代金を支払うことはないと表明しており、現在は州刑事警察局、検察当局、連邦保安当局がこの事案の捜査に当たっています。
Rhysidaランサムウェアは2023年半ばから活動しており、これまでに医療機関、州政府機関、教育機関、重要インフラを標的としてきました。
脅威アクターの主張によると、ベルリン市の行政ネットワークから約144万個のファイル、合計5.79TBのデータを窃取したとされています。
攻撃者側の説明では、以下のような種類の情報を窃取したとしています。
- 行政、法務、財務、契約、人事、インフラ、医療、地図関連の記録
- 数千件の氏名、メールアドレス、電話番号、および148件のIBAN
- 平文の認証情報、データベースアカウント、決済システムデータ、パスワード保管庫、幹部職員の認証情報
- 人事ファイル、給与情報、行政違反記録、メールアーカイブ、SQLデータベースダンプ、身分証明書、銀行情報
- 懲戒処分手続きおよびその他の名指しされた案件に関する文書
- 連邦参議院委員会の記録や機密文書の取り扱いに関する情報を含む、機密または機微とされる政府関連資料
- ベルリン市の水道供給に関する重要インフラのセキュリティ評価
- 秘密保持契約(NDA)と記された3,200件以上の文書
攻撃者はGDPR違反を材料にベルリン市当局への圧力を強めており、記事執筆時点で支払いまでの猶予は4日間とされ、期限内に応じなければ窃取したファイルを公開すると通告しています。
フォレンジック調査担当者によると、脅威アクターは移動・交通・気候保護・環境担当のベルリン州参事局からもデータを窃取しており、その時期はおそらく8月7日から12日の間とみられています。
被害を受けた州参事局は8月14日に州ネットワークから切り離されました。
市当局の発表では、調査は現在も継続中であり、データ窃取の全容はまだ判明していないとしています。
イリス・シュプランガー上院議員は、選挙関連データが侵害された証拠は見つかっておらず、来る州議会選挙を支える技術基盤は安全性が確保されていると考えられると述べています。
今回の攻撃でRhysidaが用いた侵入手口は明らかにされていません。過去にMicrosoftによって阻止されたキャンペーンでは、ランサムウェア運営者は悪意のあるTeamsインストーラーを使って標的への侵入を図っていました。
