As autoridades de Berlim se recusaram a atender a uma suposta exigência de resgate de 30 Bitcoins após um ataque cibernético atingir duas agências estaduais, enquanto os funcionários ainda não confirmaram a quantidade de dados que teriam sido roubados.
Resumo
- Hackers supostamente exigiram 30 Bitcoins, no valor de cerca de 2 milhões de euros, após um ataque cibernético afetar duas agências estaduais de Berlim.
- Os atacantes ameaçaram publicar informações roubadas, enquanto os funcionários de Berlim se recusaram a pagar e não confirmaram o valor do resgate relatado.
- Berlim inicialmente disse que apenas informações públicas foram comprometidas, mas depois reconheceu que dados não públicos foram afetados.
- Rhysida supostamente reivindicou a responsabilidade pelo ataque e disse que obteve arquivos sensíveis, embora as autoridades de Berlim não tenham verificado a extensão total do suposto roubo.
A Chancelaria do Senado de Berlim disse que não divulgaria detalhes sobre os atacantes, suas exigências ou as informações potencialmente retiradas dos sistemas governamentais enquanto a investigação estiver ativa. Um porta-voz do Senado disse à agência de notícias alemã dpa que os funcionários não poderiam comentar "por razões investigativas" nesta fase.
A posição deixa vários detalhes do ataque não confirmados pelo governo estadual, incluindo relatos de que o grupo de ransomware Rhysida obteve arquivos sensíveis e ameaçou publicá-los a menos que Berlim pagasse cerca de 2 milhões de euros em Bitcoins.
Berlim recusou a exigência relatada de 30 Bitcoins
O prefeito de Berlim, Kai Wegner, confirmou após uma reunião especial do Senado na sexta-feira que o estado estava enfrentando uma tentativa de extorsão após o ataque cibernético.
"O estado de Berlim não se deixará chantagear", disse Wegner.
Ele não identificou publicamente os atacantes nem divulgou o valor exigido. A senadora do Interior, Iris Spranger, juntou-se a Wegner para informar o público após a reunião, enquanto as autoridades continuavam examinando quais informações haviam saído dos sistemas governamentais.
A revista alemã Der Spiegel informou que a Rhysida estava por trás do ataque, citando informações publicadas pelo grupo de ransomware em seu site de vazamento na dark web. Fontes de segurança citadas pela publicação supostamente identificaram a Rhysida como o grupo responsável pela tentativa de extorsão.
Os atacantes exigiram 30 BTC e ameaçaram liberar as informações se Berlim não pagasse, de acordo com o relatório. Aos preços atuais, a exigência valia cerca de 2 milhões de euros.
A Rhysida supostamente afirmou ter levado quase seis terabytes de dados. Os supostos arquivos incluem informações de dezenas de milhares de processos de contravenções administrativas, contratos, senhas, credenciais de login, planos de emergência e documentos relacionados à infraestrutura crítica.
As autoridades de Berlim não confirmaram de forma independente a quantidade de dados reivindicada pelo grupo ou a lista completa de registros comprometidos.
A distinção tornou-se importante para o relato oficial do incidente porque a avaliação do governo mudou após a descoberta do ataque. Os funcionários inicialmente disseram que apenas informações publicamente acessíveis foram levadas antes de a Chancelaria do Senado reconhecer na quarta-feira passada que dados não públicos foram afetados.
Ataque cibernético forçou duas agências de Berlim a sair da rede estadual
O ataque tornou-se público em 14 de agosto e afetou o Departamento do Senado de Desenvolvimento Urbano, Construção e Habitação e o Departamento do Senado de Mobilidade, Transporte, Proteção Climática e Meio Ambiente.
Ambas as agências foram temporariamente desconectadas da rede estadual de Berlim enquanto os funcionários trabalhavam para conter o incidente.
A separação durou cerca de uma semana e interrompeu alguns serviços administrativos. Relatos alemães disseram que os residentes ficaram temporariamente impossibilitados de solicitar ou receber benefícios habitacionais enquanto os sistemas afetados permaneciam isolados.
Os investigadores ainda estão determinando quando a intrusão começou e quanta informação saiu da rede. Relatos citando a investigação disseram que os dados podem ter sido extraídos entre 7 e 12 de agosto, vários dias antes de os funcionários detectarem o ataque.
A Polícia Criminal Estadual de Berlim e os promotores estão investigando a violação. Wegner disse que as autoridades de segurança estaduais e federais estavam trabalhando para identificar os perpetradores enquanto os funcionários continuavam verificando quais arquivos foram acessados ou removidos.
Spranger disse que o ataque não comprometeu os preparativos para a eleição estadual de Berlim em 20 de setembro, descrevendo a infraestrutura eleitoral como totalmente segura.
O caso de ransomware segue outro ataque cibernético governamental envolvendo uma demanda por Bitcoin relatada pelo crypto.news em julho. Hackers assumiram o controle do site oficial do presidente queniano William Ruto e exigiram 5 BTC enquanto ameaçavam divulgar informações não especificadas.
As autoridades quenianas restringiram temporariamente o acesso ao site e abriram uma investigação. A Autoridade de TIC do país disse na época que os investigadores não encontraram evidências de que informações sensíveis foram acessadas, roubadas ou perdidas.
Rhysida opera como grupo de ransomware desde 2023
A Rhysida surgiu em 2023 e foi associada a ataques contra órgãos governamentais, organizações de saúde e outras instituições em vários países.
O grupo já teve como alvo organizações como a Biblioteca Britânica e o Exército Chileno. Suas operações geralmente combinam invasão de rede com demandas de pagamento, enquanto a ameaça de publicar informações roubadas pode ser usada para pressionar as vítimas.
Bitcoin e outras criptomoedas apareceram repetidamente em casos de ransomware porque os atacantes podem direcionar pagamentos para endereços de blockchain sem usar contas bancárias convencionais.
Transações públicas de blockchain ainda podem ser rastreadas. Um relatório do crypto.news sobre forense de blockchain detalhou como os investigadores podem rastrear movimentos de criptomoedas entre endereços e usar padrões de transação e outras informações para conectar fundos a serviços ou indivíduos.
Agências de aplicação da lei recuperaram criptomoedas de operações de ransomware em casos anteriores. Em agosto de 2025, autoridades dos EUA apreenderam US$ 1,09 milhão em criptomoedas ligadas ao grupo de ransomware BlackSuit, juntamente com quatro servidores e nove domínios.
O BlackSuit foi associado a mais de 450 vítimas conhecidas nos EUA e a mais de US$ 370 milhões em demandas de resgate desde 2022. Uma vítima pagou 49,3 BTC em 2023 após um ataque, com investigadores recuperando posteriormente parte do pagamento, de acordo com o Departamento de Justiça.
Um caso separado nos EUA em julho envolveu um suposto membro do grupo de hackers Scattered Spider. Promotores federais acusaram Peter Stokes, de 19 anos, por uma suposta invasão corporativa e uma demanda de resgate de US$ 8 milhões em criptomoedas que não teve sucesso.
Berlim não confirmou as alegações de dados da Rhysida
A investigação de Berlim continua focada em estabelecer a extensão da violação, enquanto o governo não divulga detalhes que, segundo autoridades, poderiam afetar a investigação.
As alegações da Rhysida sobre o material roubado originam-se das comunicações do grupo na dark web e não foram totalmente verificadas pelo governo de Berlim. Autoridades confirmaram que informações não públicas foram afetadas, revertendo a avaliação inicial de que o material comprometido se limitava a dados publicamente acessíveis.
A Chancelaria do Senado não divulgou se os investigadores verificaram a demanda relatada de 30 BTC, os quase seis terabytes supostamente levados ou as categorias individuais de informações que a Rhysida afirma possuir.
Wegner disse que as autoridades nos níveis estadual e federal estavam trabalhando para identificar o grupo responsável, enquanto a Polícia Criminal Estadual de Berlim e os promotores continuavam sua investigação sobre o ataque.
