Sprawa jest szczególnie poważna, ponieważ według atakujących wśród skradzionych materiałów mogą znajdować się dokumenty administracyjne, informacje kontaktowe, dane uwierzytelniające oraz inne niepubliczne materiały. Rhysida żąda 30 bitcoinów, czyli według niemieckich doniesień około 2 mln euro, grożąc ujawnieniem danych w przypadku odmowy zapłaty. Władze Berlina odpowiedziały jednoznacznie, że nie zamierzają poddawać się szantażowi. Jednocześnie śledztwo prowadzą berlińskie organy ścigania we współpracy z federalnymi instytucjami odpowiedzialnymi za cyberbezpieczeństwo. Atak pokazuje, że ransomware nie jest już problemem dotyczącym wyłącznie prywatnych przedsiębiorstw. Coraz częściej celem stają się miasta, szpitale, administracja i infrastruktura, której przestój może bezpośrednio wpłynąć na życie tysięcy ludzi.
Pierwsze informacje o problemach pojawiły się w połowie sierpnia 2026 roku. W ramach analiz bezpieczeństwa wykryto naruszenie sieci Landesnetz Berlin. Z powodów bezpieczeństwa 14 sierpnia odłączono od niej dwa obszary administracji: Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen, odpowiadający między innymi za rozwój miasta, budownictwo i mieszkalnictwo, oraz Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt, zajmujący się transportem, mobilnością, klimatem i środowiskiem. W działania zaangażowano berlińską policję kryminalną, prokuraturę oraz niemiecki Federalny Urząd Bezpieczeństwa Informacji. Powołano również specjalny sztab kryzysowy odpowiedzialny za koordynowanie działań oraz dalsze badanie infrastruktury.
Późniejsze analizy wykazały, że dane opuszczały systemy jeszcze przed fizycznym odłączeniem administracji od sieci. Władze Berlina poinformowały, że potwierdzony okres odpływu danych przypadał między 7 a 12 sierpnia 2026 roku. Oznacza to, że atakujący mogli działać w infrastrukturze przez kilka dni przed zastosowaniem najpoważniejszych środków zabezpieczających. 23 sierpnia oba odłączone departamenty zostały ponownie podłączone do Landesnetz, jednak dochodzenie informatyczne nie zostało zakończone. Berlin nadal prowadzi skanowanie systemów i analizuje, jakie dokładnie informacje zostały przejęte. Władze podkreślają, że atak został prawdopodobnie ograniczony, ale ostateczny obraz incydentu będzie można przedstawić dopiero po zakończeniu szczegółowych badań.
Rhysida to grupa ransomware działająca co najmniej od 2023 roku. Jej model działalności wpisuje się w schemat ransomware-as-a-service, czyli RaaS. W takim systemie twórcy infrastruktury i złośliwego oprogramowania mogą współpracować z innymi cyberprzestępcami, którzy przeprowadzają konkretne ataki, a następnie dzielą się uzyskanym okupem. Amerykańskie FBI, CISA i MS-ISAC ostrzegały już wcześniej, że operatorzy powiązani z Rhysida atakują organizacje należące między innymi do sektora administracji publicznej, ochrony zdrowia, edukacji, przemysłu oraz IT. Grupa stała się znana między innymi z ataków na instytucje publiczne oraz organizacje posiadające duże ilości wrażliwych danych.
Mechanizm wykorzystywany przez współczesne grupy ransomware coraz częściej nie ogranicza się do zaszyfrowania plików. Cyberprzestępcy najpierw próbują skopiować dane z infrastruktury ofiary, a dopiero później wykorzystują możliwość ich opublikowania jako dodatkowe narzędzie nacisku. Nawet organizacja posiadająca sprawne kopie zapasowe może więc znaleźć się w trudnej sytuacji, ponieważ przywrócenie systemów nie rozwiązuje problemu wykradzionych dokumentów. W przypadku Berlina Rhysida zdecydowała się właśnie na taki model szantażu. Grupa twierdzi, że posiada ogromny zestaw materiałów i wystawiła je do swoistej aukcji, domagając się zapłaty w kryptowalucie. Władze nie potwierdziły jednak, że wszystkie dane prezentowane przez przestępców rzeczywiście pochodzą z berlińskiej administracji.
Najczęściej powtarzana liczba to 5,79 TB. Pochodzi ona jednak od samej grupy Rhysida, a nie z oficjalnego komunikatu władz Berlina. Cyberprzestępcy twierdzą dodatkowo, że zdobyli około 1,44 mln plików. Wśród nich mają znajdować się między innymi dziesiątki tysięcy umów, wiadomości e-mail, numery telefonów, hasła oraz inne dokumenty administracyjne. W obiegu pojawiła się również informacja o danych dotyczących ponad 12 tys. osób. Wszystkie te szczegółowe wartości należy jednak traktować jako twierdzenia atakujących, ponieważ administracja Berlina nie zakończyła jeszcze własnej analizy i nie potwierdziła ani liczby plików, ani deklarowanej przez przestępców objętości zbioru.
Oficjalnie wiadomo natomiast, że doszło do rzeczywistego odpływu danych. Senacka kancelaria poinformowała 26 sierpnia, że w toku śledztwa odkryto kolejne przypadki kopiowania informacji z obszaru administracji odpowiedzialnej za mobilność, transport, klimat i środowisko. Władze przyznały również, że nie można wykluczyć przejęcia danych osobowych oraz innych informacji nieprzeznaczonych do publikacji. Jest to istotne rozróżnienie. Cyberatak i kradzież danych są faktem potwierdzonym przez Berlin, ale skala 5,79 TB pozostaje na obecnym etapie deklaracją przestępców. Dopiero zakończenie analizy logów, serwerów oraz kopii systemów pozwoli określić, ile danych rzeczywiście opuściło infrastrukturę i które osoby lub instytucje mogą być dotknięte wyciekiem.
Odłączenie dwóch senackich departamentów od wspólnej sieci administracyjnej miało konsekwencje dla części usług publicznych. Problemy dotyczyły między innymi procesów związanych z transportem, użytkowaniem dróg i obsługą niektórych wniosków. W dzielnicy Friedrichshain-Kreuzberg urząd informował, że z powodu niedostępności infrastruktury część wniosków dotyczących organizacji ruchu, placów budowy oraz specjalnego wykorzystania przestrzeni drogowej nie mogła być prawidłowo obsługiwana. Podobne ograniczenia występowały w Tempelhof-Schöneberg. Pojawiły się również problemy dotyczące obsługi świadczeń mieszkaniowych, ponieważ odłączone systemy były wykorzystywane także przez urzędy dzielnicowe.
Po ponownym podłączeniu departamentów 23 sierpnia większość specjalistycznych systemów wykorzystywanych przez administrację została ponownie udostępniona. Berlin ostrzegał jednak, że przez pewien czas mogą występować opóźnienia wynikające z nagromadzenia spraw oraz dodatkowych procedur bezpieczeństwa. Ten element ataku ransomware jest często pomijany w dyskusji koncentrującej się na wielkości okupu czy liczbie skradzionych plików. Nawet jeśli cyberprzestępcy nie doprowadzą do całkowitego wyłączenia infrastruktury, sama konieczność izolowania systemów może sparaliżować określone procedury. W administracji publicznej oznacza to nie tylko straty finansowe, lecz także opóźnienia dla mieszkańców czekających na decyzje, świadczenia, zezwolenia albo realizację innych spraw urzędowych.
Władze Berlina przyjęły jednoznaczne stanowisko. Burmistrz Kai Wegner oraz senator ds. wewnętrznych Iris Spranger oświadczyli 28 sierpnia, że kraj związkowy nie podda się szantażowi. Decyzja jest zgodna z podejściem rekomendowanym przez wiele instytucji zajmujących się cyberbezpieczeństwem. Zapłacenie okupu nie daje bowiem żadnej gwarancji, że cyberprzestępcy rzeczywiście usuną skradzione dane. Organizacja może zapłacić, odzyskać część infrastruktury, a mimo to kilka miesięcy później zobaczyć swoje dokumenty opublikowane lub sprzedane innym grupom. Przekazanie pieniędzy finansuje również dalszą działalność ransomware i może sprawić, że dana instytucja zostanie uznana za cel skłonny do płacenia.
Rhysida żąda według doniesień 30 bitcoinów, których wartość w momencie ujawnienia żądania była określana na około 2 mln euro. Grupa grozi opublikowaniem lub sprzedażą danych, jeśli płatność nie zostanie dokonana przed końcem ustalonego terminu. Z punktu widzenia administracji sytuacja jest wyjątkowo trudna. Brak zapłaty zwiększa prawdopodobieństwo ujawnienia skradzionych informacji, natomiast zapłacenie przestępcom nie gwarantuje ich ochrony. Właśnie dlatego działania koncentrują się obecnie na analizie zakresu naruszenia, zabezpieczaniu systemów i przygotowywaniu się na ewentualne konsekwencje wycieku. Jednocześnie policja, prokuratura i federalne służby próbują ustalić sposób przeprowadzenia ataku oraz tożsamość osób stojących za operacją.
Moment ataku dodatkowo zwiększa zainteresowanie sprawą, ponieważ 20 września 2026 roku w Berlinie odbędą się wybory do Izby Deputowanych oraz zgromadzeń dzielnicowych. Władze zapewniają jednak, że według obecnego stanu wiedzy cyberatak nie zagraża przeprowadzeniu głosowania. Senator ds. wewnętrznych Iris Spranger informowała już 19 sierpnia, że systemy związane z organizacją wyborów nie zostały dotknięte incydentem. Pojawiły się wprawdzie problemy z dostępem do elektronicznego wniosku o dokumenty wyborcze, ale ówczesna analiza nie wskazywała na związek tej awarii z cyberatakiem. Przygotowania do głosowania są kontynuowane, a 31 sierpnia berlińskie urzędy informowały o wysłaniu zawiadomień wyborczych.
Nie oznacza to, że aspekt wyborczy można całkowicie zignorować. Wyciek dokumentów administracyjnych tuż przed głosowaniem może zostać wykorzystany nie tylko do klasycznych oszustw, ale również do dezinformacji. Autentyczne materiały można mieszać z dokumentami zmodyfikowanymi lub całkowicie fałszywymi, a następnie publikować w mediach społecznościowych jako rzekome dowody nieprawidłowości. Berlin już wcześniej przygotowywał działania związane z ograniczaniem cyfrowej manipulacji wokół wyborów, w tym narzędzia pomagające mieszkańcom sprawdzać podejrzane treści. Dlatego nawet jeśli infrastruktura odpowiedzialna za samo głosowanie pozostaje bezpieczna, potencjalna publikacja dużego zbioru skradzionych danych w tygodniach poprzedzających wybory może stworzyć dodatkowe problemy informacyjne.
Najbardziej bezpośrednie zagrożenie dotyczy osób, których dane mogły znaleźć się w przejętych plikach. Jeśli wyciek obejmuje adresy e-mail, telefony, dane osobowe, korespondencję lub informacje uwierzytelniające, cyberprzestępcy mogą wykorzystać je do kolejnych oszustw. Szczególnie niebezpieczne są dane pozwalające przygotować spersonalizowany phishing. Wiadomość zawierająca prawdziwe nazwisko pracownika, numer sprawy, nazwę departamentu czy fragment autentycznej korespondencji wygląda znacznie bardziej wiarygodnie niż przypadkowy spam. Jeżeli w zbiorze rzeczywiście znajdują się hasła, konieczna może być ich szeroka zmiana oraz kontrola innych systemów, w których użytkownicy mogli stosować te same dane logowania.
Problem może trwać przez lata. Numer telefonu, adres e-mail czy część informacji administracyjnych nie tracą swojej wartości dzień po wycieku. Dane mogą zostać wielokrotnie kopiowane, sprzedawane oraz łączone z informacjami pochodzącymi z innych naruszeń. Dla Berlina potencjalne konsekwencje obejmują więc nie tylko bieżące śledztwo, ale również konieczność monitorowania kolejnych prób wykorzystania przejętych materiałów. Administracja może być także zmuszona do poinformowania konkretnych osób, jeśli analiza potwierdzi, że ich dane osobowe zostały naruszone w sposób stwarzający odpowiednie ryzyko. Na obecnym etapie władze nie publikują jednak pełnej listy kategorii skradzionych informacji, ponieważ dochodzenie nadal trwa.
Przypadek Berlina pokazuje, że przygotowanie na ransomware nie może ograniczać się do wykonywania kopii zapasowych. Backup pozostaje niezbędny, ale nie rozwiązuje problemu wycieku danych. Organizacja powinna zakładać, że atakujący mogą próbować pozostawać w systemach przez kilka dni, analizować infrastrukturę, zwiększać swoje uprawnienia oraz kopiować informacje przed wykonaniem bardziej widocznych działań. Dlatego ogromne znaczenie mają systemy wykrywające nietypowy ruch sieciowy, nagłe przesyłanie dużych ilości danych, logowania z nietypowych lokalizacji oraz próby dostępu do zasobów, z których dany użytkownik wcześniej nie korzystał. W przypadku Berlina oficjalnie potwierdzony okres odpływu danych obejmuje kilka dni poprzedzających odłączenie systemów.
Drugą lekcją jest konieczność przygotowania planów ciągłości działania. Administracja powinna wiedzieć, jak świadczyć najważniejsze usługi wtedy, gdy część sieci musi zostać natychmiast odłączona. Firmy powinny przygotować analogiczne procedury dla produkcji, sprzedaży, księgowości czy obsługi klientów. Ważne są również segmentacja sieci, uwierzytelnianie wieloskładnikowe, szybkie instalowanie aktualizacji oraz ograniczanie uprawnień użytkowników do minimum niezbędnego do pracy. Rhysida należy do grup, przed którymi wcześniej ostrzegały amerykańskie agencje bezpieczeństwa, wskazując właśnie administrację, ochronę zdrowia i inne organizacje publiczne jako atrakcyjne cele. Atak na Berlin przypomina więc, że ransomware nie jest zdarzeniem czysto informatycznym. W momencie, gdy zatrzymuje działanie urzędu lub powoduje wyciek danych mieszkańców, staje się problemem dotyczącym całego miasta.
