Władze Berlina odmówiły spełnienia rzekomego żądania okupu w wysokości 30 Bitcoinów po ataku cybernetycznym, który dotknął dwie agencje stanowe, podczas gdy urzędnicy nie potwierdzili jeszcze ilości danych, które rzekomo zostały skradzione.
Podsumowanie
- Według doniesień hakerzy zażądali 30 Bitcoinów, o wartości około 2 milionów euro, po ataku cybernetycznym, który dotknął dwie berlińskie agencje stanowe.
- Atakujący zagrozili opublikowaniem skradzionych informacji, podczas gdy berlińscy urzędnicy odmówili zapłaty i nie potwierdzili podanej kwoty okupu.
- Berlin początkowo twierdził, że naruszone zostały tylko publiczne informacje, ale później przyznał, że dotknięte zostały również dane niepubliczne.
- Według doniesień grupa Rhysida przyznała się do ataku i oświadczyła, że uzyskała wrażliwe pliki, chociaż władze Berlina nie zweryfikowały pełnego zakresu rzekomej kradzieży.
Berlińska Kancelaria Senatu poinformowała, że nie ujawni szczegółów dotyczących atakujących, ich żądań ani informacji potencjalnie pobranych z systemów rządowych, dopóki trwa śledztwo. Rzecznik Senatu powiedział niemieckiej agencji prasowej dpa, że urzędnicy nie mogą komentować „ze względów śledczych” na tym etapie.
To stanowisko pozostawia kilka szczegółów ataku niepotwierdzonych przez rząd stanowy, w tym doniesienia, że grupa ransomware Rhysida uzyskała wrażliwe pliki i zagroziła ich opublikowaniem, jeśli Berlin nie zapłaci około 2 milionów euro w Bitcoinach.
Berlin odmówił spełnienia zgłoszonego żądania 30 Bitcoinów
Burmistrz Berlina Kai Wegner potwierdził po nadzwyczajnym posiedzeniu Senatu w piątek, że stan stoi w obliczu próby wymuszenia po ataku cybernetycznym.
„Kraj związkowy Berlin nie da się szantażować” – powiedział Wegner.
Nie zidentyfikował publicznie atakujących ani nie ujawnił żądanej kwoty. Senator ds. wewnętrznych Iris Spranger dołączyła do Wegnera w informowaniu opinii publicznej po spotkaniu, podczas gdy władze kontynuowały badanie, jakie informacje opuściły systemy rządowe.
Niemiecki magazyn Der Spiegel poinformował, że za atakiem stoi Rhysida, powołując się na informacje opublikowane przez grupę ransomware na jej stronie w ciemnej sieci. Źródła bezpieczeństwa cytowane przez publikację rzekomo zidentyfikowały Rhysidę jako grupę odpowiedzialną za próbę wymuszenia.
Według raportu atakujący zażądali 30 BTC i zagrozili ujawnieniem informacji, jeśli Berlin nie zapłaci. Przy obecnych cenach żądanie było warte około 2 milionów euro.
Rhysida rzekomo twierdzi, że przejęła prawie sześć terabajtów danych. Rzekome pliki obejmują informacje z dziesiątek tysięcy postępowań administracyjnych, umowy, hasła, dane logowania, plany awaryjne i dokumenty związane z infrastrukturą krytyczną.
Władze Berlina nie potwierdziły niezależnie ilości danych deklarowanej przez grupę ani pełnej listy naruszonych rekordów.
To rozróżnienie stało się ważne dla oficjalnego opisu incydentu, ponieważ ocena rządu zmieniła się po wykryciu ataku. Urzędnicy początkowo twierdzili, że pobrano tylko publicznie dostępne informacje, zanim Kancelaria Senatu przyznała w zeszłą środę, że dotknięte zostały dane niepubliczne.
Atak cybernetyczny zmusił dwie berlińskie agencje do odłączenia się od sieci stanowej
Atak został ujawniony 14 sierpnia i dotknął berliński Senacki Departament Rozwoju Miast, Budownictwa i Mieszkalnictwa oraz Senacki Departament Mobilności, Transportu, Ochrony Klimatu i Środowiska.
Obie agencje zostały tymczasowo odłączone od berlińskiej sieci stanowej, podczas gdy urzędnicy pracowali nad opanowaniem incydentu.
Odłączenie trwało około tygodnia i zakłóciło niektóre usługi administracyjne. Niemieckie raporty podały, że mieszkańcy tymczasowo nie mogli składać wniosków o świadczenia mieszkaniowe ani ich otrzymywać, dopóki dotknięte systemy pozostawały odizolowane.
Śledczy wciąż ustalają, kiedy rozpoczęło się włamanie i ile informacji opuściło sieć. Raporty powołujące się na śledztwo mówią, że dane mogły zostać pobrane między 7 a 12 sierpnia, na kilka dni przed wykryciem ataku przez urzędników.
Berliński Urząd Kryminalny i prokuratorzy badają naruszenie. Wegner powiedział, że stanowe i federalne organy bezpieczeństwa pracują nad identyfikacją sprawców, podczas gdy urzędnicy nadal sprawdzają, które pliki zostały udostępnione lub usunięte.
Spranger powiedział, że atak nie naruszył przygotowań do berlińskich wyborów stanowych 20 września, opisując infrastrukturę wyborczą jako w pełni zabezpieczoną.
Sprawa ransomware następuje po innym cyberataku na rząd, w którym zgłoszono żądanie Bitcoin, o czym crypto.news informował w lipcu. Hakerzy przejęli kontrolę nad oficjalną stroną prezydenta Kenii Williama Ruto i zażądali 5 BTC, grożąc ujawnieniem nieokreślonych informacji.
Władze Kenii tymczasowo ograniczyły dostęp do strony internetowej i wszczęły śledztwo. Krajowy Urząd ds. Technologii Informacyjnych poinformował wówczas, że śledczy nie znaleźli dowodów na to, aby dostęp do wrażliwych informacji został uzyskany, skradziony lub utracony.
Rhysida działa jako grupa ransomware od 2023 roku
Rhysida pojawiła się w 2023 roku i jest powiązana z atakami na organy rządowe, organizacje opieki zdrowotnej i inne instytucje w kilku krajach.
Grupa wcześniej atakowała organizacje takie jak British Library i Armia Chile. Jej działania zazwyczaj łączą włamanie do sieci z żądaniem zapłaty, a groźba opublikowania skradzionych informacji może być wykorzystywana do wywierania presji na ofiary.
Bitcoin i inne kryptowaluty wielokrotnie pojawiały się w sprawach ransomware, ponieważ atakujący mogą kierować płatności na adresy blockchain bez korzystania z konwencjonalnych kont bankowych.
Publiczne transakcje blockchain nadal można śledzić. Raport crypto.news na temat analizy blockchain szczegółowo opisał, w jaki sposób śledczy mogą prześledzić przepływy kryptowalut między adresami i wykorzystać wzorce transakcji oraz inne informacje, aby powiązać środki z usługami lub osobami.
Organy ścigania odzyskały kryptowaluty z operacji ransomware w poprzednich sprawach. W sierpniu 2025 r. władze USA przejęły 1,09 miliona dolarów w kryptowalutach powiązanych z grupą ransomware BlackSuit wraz z czterema serwerami i dziewięcioma domenami.
BlackSuit był powiązany z ponad 450 znanymi ofiarami w USA i żądaniami okupu przekraczającymi 370 milionów dolarów od 2022 roku. Jedna ofiara zapłaciła 49,3 BTC w 2023 roku po ataku, a śledczy później odzyskali część płatności, zgodnie z Departamentem Sprawiedliwości.
Osobna sprawa w USA w lipcu dotyczyła podejrzanego członka grupy hakerskiej Scattered Spider. Prokuratorzy federalni postawili zarzuty 19-letniemu Peterowi Stokesowi w związku z rzekomym włamaniem do firmy i nieudanym żądaniem okupu w wysokości 8 milionów dolarów w kryptowalutach.
Berlin nie potwierdził roszczeń Rhysidy dotyczących danych
Śledztwo w Berlinie pozostaje skoncentrowane na ustaleniu zakresu naruszenia, podczas gdy rząd wstrzymuje się z ujawnieniem szczegółów, które według urzędników mogłyby wpłynąć na dochodzenie.
Roszczenia Rhysidy dotyczące skradzionego materiału pochodzą z komunikacji grupy w darknecie i nie zostały w pełni zweryfikowane przez berliński rząd. Urzędnicy potwierdzili, że informacje niepubliczne zostały naruszone, odwracając wstępną ocenę, że skompromitowany materiał ograniczał się do danych publicznie dostępnych.
Kancelaria Senatu nie ujawniła, czy śledczy zweryfikowali zgłoszone żądanie 30 BTC, prawie sześć terabajtów rzekomo zabranych danych ani poszczególnych kategorii informacji, które Rhysida twierdzi, że posiada.
Wegner powiedział, że władze na szczeblu stanowym i federalnym pracują nad identyfikacją grupy odpowiedzialnej, podczas gdy Berliński Krajowy Urząd Kryminalny i prokuratorzy kontynuują śledztwo w sprawie ataku.
