Berlín confirma un intento de extorsión tras la reivindicación de Rhysida

31 de agosto de 2026. La administración de la ciudad de Berlín confirmó que está siendo objeto de un intento de extorsión después de que el grupo de ransomware Rhysida incluyera a la institución en su sitio de filtraciones. El ataque fue detectado a mediados de agosto y los responsables lo reivindicaron públicamente el 28 de agosto.

Kai Wergner, alcalde de Berlín, declaró que la ciudad no pagará a los atacantes. La investigación está en manos del State Criminal Police Office, la fiscalía y varias agencias federales de seguridad. Por ahora, el método utilizado para obtener acceso a la red administrativa no ha sido revelado.

Rhysida afirma haber exfiltrado 5,79 TB de información, equivalentes a aproximadamente 1,44 millones de archivos. La organización sostiene que los datos procederían de distintos ámbitos de la administración e incluirían registros gubernamentales, jurídicos, financieros, contractuales, de recursos humanos, infraestructuras, salud y cartografía.

Entre la información que el grupo asegura haber robado figuran miles de nombres, direcciones de correo electrónico y números de teléfono, además de 148 IBAN. También menciona credenciales en texto claro, cuentas de bases de datos, datos de sistemas de pago, almacenes de contraseñas y credenciales de altos funcionarios.

La lista difundida por Rhysida incluye asimismo expedientes de personal, información sobre nóminas, registros de infracciones administrativas, archivos de correo electrónico, volcados de bases de datos SQL, documentos de identidad y datos bancarios. El grupo afirma disponer de documentos relacionados con procedimientos disciplinarios y otros casos identificados, así como de material gubernamental supuestamente clasificado o sensible.

Entre los documentos citados aparecen registros de comités del Bundesrat, información sobre la gestión de documentos clasificados y evaluaciones de seguridad de infraestructuras críticas vinculadas al suministro de agua de Berlín. Los atacantes también aseguran haber obtenido más de 3.200 documentos marcados como acuerdos de confidencialidad.

Rhysida está utilizando posibles infracciones del GDPR como elemento de presión. En el momento de la publicación original, el grupo daba al Gobierno de Berlín un plazo de cuatro días para pagar antes de comenzar a publicar los archivos presuntamente sustraídos. La existencia y el alcance definitivo de la exfiltración continúan bajo investigación, por lo que las cifras y categorías difundidas por los atacantes no han sido verificadas de forma independiente.

Los investigadores forenses han determinado además que el actor obtuvo datos del Senate Department for Mobility, Transport, Climate Protection and the Environment, probablemente entre el 7 y el 12 de agosto. Como medida de contención, los departamentos afectados fueron desconectados de la red estatal el 14 de agosto.

Iris Spranger, senadora de Berlín, afirmó que no se había encontrado ninguna evidencia de que los datos electorales hubieran quedado comprometidos. Según la evaluación comunicada por las autoridades, el entorno técnico que dará soporte a las próximas elecciones a la Berlin House of Representatives se considera seguro.

Rhysida está activo desde mediados de 2023 y ha dirigido campañas contra organizaciones sanitarias, gobiernos estatales, instituciones educativas e infraestructuras críticas. En una campaña anterior interrumpida por Microsoft, sus operadores utilizaron instaladores maliciosos de Teams para acceder a las redes objetivo. El incidente de Berlín no ha sido vinculado públicamente a ese método.

La información procede de BleepingComputer: Berlin confirms data theft after Rhysida ransomware attack claims.

Fuente: BleepingComputer