Berlino rifiuta il pagamento del riscatto dopo la violazione della rete cittadina

Il governo statale di Berlino ha confermato di essere oggetto di un tentativo di estorsione dopo la compromissione di agosto della rete amministrativa statale della città, e afferma che non soddisfarà le richieste degli aggressori. Nella stessa dichiarazione, Berlino ha reso noto che il lavoro forense aveva trovato ulteriori flussi di dati in uscita nel portafoglio del Dipartimento del Senato per la Mobilità, i Trasporti, la Protezione del Clima e l'Ambiente, con dati prelevati tra il 7 e il 12 agosto 2026. La portata e il contenuto sono ancora in fase di esame, e la Cancelleria del Senato ha affermato che non si possono escludere dati personali o altri dati non pubblici da quanto è stato prelevato. Il dipartimento ha segnalato per la prima volta un flusso in uscita il 7 agosto, sette giorni prima di essere isolato dalla rete il 14 agosto. Berlino non ha pubblicato una cifra su quanti dati siano usciti dalla rete. L'unico resoconto dettagliato in circolazione è quello degli stessi aggressori, un post su un sito di leak indicizzato il 28 agosto che rivendica 5,79 terabyte di dati e informazioni personali su 12.076 individui. Al 29 agosto, i due comunicati di Berlino non contenevano indicazioni per le persone i cui dati potrebbero essere tra quelli sottratti.

Il sindaco governatore Kai Wegner ha dichiarato dopo una sessione speciale del Senato al Rotes Rathaus che lo stato è vittima di ricatto, secondo la versione inglese tradotta automaticamente sul portale ufficiale della città di Berlino. La dichiarazione della Cancelleria del Senato ha affermato che la polizia criminale statale, la procura e le autorità di sicurezza federali stanno indagando sui presunti autori e non avevano identificato alcun gruppo dietro l'attacco. Der Spiegel ha indicato Rhysida come il gruppo, citando una voce sul sito di leak nel darknet del gruppo e fonti di sicurezza coinvolte nella risposta. The Hacker News ha confermato tramite un servizio di monitoraggio dei siti di leak il 29 agosto che una voce intitolata Berlin, Germany è stata aggiunta al sito di leak di Rhysida il 28 agosto. Quel post sostiene di aver scansionato 5,79 terabyte di dati e circa 1,44 milioni di file, e identifica la vittima solo come Berlin, Germany anziché il Senato o un dipartimento. Nessuna cifra di riscatto appare nella voce, e le sue undici categorie di file, la più grande delle quali è di 124.823 mappe e file di geodati, rappresentano insieme circa un quarto del numero totale di file rivendicato.

La Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti, il Federal Bureau of Investigation (FBI) e il Multi-State Information Sharing and Analysis Center (MS-ISAC) hanno delineato le tecniche di Rhysida in un avviso congiunto del novembre 2023. L'avviso documenta tre vie di accesso iniziale: account validi su servizi remoti esposti esternamente, dove gli aggressori accedono a punti di accesso VPN interni con credenziali valide rubate, specialmente presso organizzazioni che non abilitano l'autenticazione a più fattori (MFA) per impostazione predefinita; Zerologon (CVE-2020-1472), una vulnerabilità di elevazione dei privilegi nel Netlogon Remote Protocol di Microsoft che Microsoft ha corretto l'11 agosto 2020; e il phishing, che le agenzie registrano come una via di successo per entrare nelle reti delle vittime. Le agenzie osservano che l'FBI e la CISA non incoraggiano il pagamento del riscatto perché il pagamento non garantisce il ripristino e può incoraggiare ulteriori attacchi. Raccomandano di dare priorità alle correzioni per le vulnerabilità note sfruttate, abilitare l'MFA su tutti i servizi e segmentare le reti per impedire la diffusione del ransomware. Lo stesso documento nota segnalazioni open source di somiglianze tra Vice Society, che Microsoft traccia come Storm-0832, e gli attori che distribuiscono Rhysida, una sovrapposizione che Check Point ha descritto nel 2023. Il servizio di monitoraggio elencava 280 vittime di Rhysida al 29 agosto, nove delle quali in Germania, tra cui l'amministrazione cittadina di Stoccarda a maggio 2026 e l'organizzazione umanitaria Welthungerhilfe a giugno 2025. I suoi elenchi includono anche il Porto di Seattle, che gestisce l'aeroporto internazionale Seattle-Tacoma, indicizzato a settembre 2024.

Sulla risposta di Berlino, la Cancelleria del Senato ha affermato che il commissario statale per la protezione dei dati e l'Ufficio federale per la sicurezza informatica (BSI) vengono tenuti informati su base continuativa. The Hacker News non ha trovato alcuna dichiarazione sull'incidente da parte del Commissario di Berlino per la protezione dei dati e la libertà di informazione al 29 agosto. Il senatore agli Interni Iris Spranger ha affermato che, allo stato attuale, nessun dato è uscito dalle aree rilevanti per lo svolgimento delle elezioni per la Camera dei Deputati del 20 settembre, e che i suoi funzionari di sicurezza considerano sicuro l'ambiente elettorale. Berlino ha divulgato per la prima volta l'incidente il 17 agosto, affermando che il lavoro forense aveva accertato una compromissione della rete statale e che entrambi i dipartimenti interessati erano stati isolati dal venerdì precedente. In una conferenza stampa del 19 agosto, Wegner ha detto che l'incidente era e rimane grave, e ha sottolineato che, in base alle conoscenze attuali, nessun dato sensibile era uscito dalla rete statale. Le domande e i pagamenti per l'indennità abitativa sono stati indisponibili mentre i due dipartimenti erano fuori dalla rete. Tutti i dipartimenti del Senato sono stati ricollegati il 23 agosto, e il lavoro forense e la scansione della rete statale continuano.

In un incidente separato, il Manchester Airports Group (MAG), che gestisce gli aeroporti di Manchester, London Stansted e East Midlands, ha dichiarato il 27 agosto che una terza parte non autorizzata ha ottenuto dati dei clienti relativi a prenotazioni di parcheggi, lounge e Fast Track e iscrizioni al WiFi in aeroporto nei tre siti. Un portavoce di MAG ha dichiarato nella dichiarazione pubblicata dall'azienda che la sicurezza dei passeggeri e la sicurezza aeroportuale non sono state compromesse, aggiungendo che le operazioni aeroportuali e i servizi di parcheggio per i clienti continuano a funzionare normalmente. I dati ottenuti includono indirizzi email, numeri di telefono, targhe dei veicoli e codici postali, e MAG ha affermato che né essa né il sistema a cui è stato effettuato l'accesso detengono i dati bancari o di pagamento dei clienti. MAG descrive il sistema a cui è stato effettuato l'accesso come distinto da MAG stessa. La sua pagina di informazioni per i clienti afferma che l'incidente non coinvolge i sistemi aeroportuali operativi e consiglia ai passeggeri di continuare a recarsi in aeroporto come al solito. Al 29 agosto, l'accesso al servizio online Manage My Booking è stato sospeso in via precauzionale, e le modifiche alle prenotazioni previste entro le successive 72 ore saranno gestite dal servizio clienti al numero 0208 163 8001, nei giorni feriali dalle 9:00 alle 17:00. Una cifra di circa 8,7 milioni di clienti colpiti è circolata ampiamente, attribuita a un portavoce dell'azienda che ha parlato alla stampa, ma i materiali di MAG non indicano il numero. MAG ha dichiarato di aver contattato direttamente i clienti colpiti e di averli indirizzati alle linee guida sulla violazione dei dati del National Cyber Security Center (NCSC) del Regno Unito, consigliando loro di restare vigili per email, messaggi di testo e telefonate sospette.

Le organizzazioni che devono rivedere la propria esposizione alle vie di accesso iniziale descritte nell'avviso su Rhysida possono utilizzare AEU-I, il servizio di consulenza IT e infrastrutturale orientato alla sicurezza di AEU Group, per pianificare e implementare controlli di base come l'autenticazione a più fattori e la segmentazione della rete.