Rhysida nabízí v aukci údajná data berlínské správy. Tvrdí, že získala 5,79 TB

Ransomwarová skupina Rhysida tvrdí, že z berlínské zemské správy odnesla 5,79 terabajtu dat. Údajný obsah nyní nabízí v aukci, zatímco německá metropole odmítá zaplatit výkupné a stále zjišťuje skutečný rozsah incidentu.

Útočníci spustili odpočet do zveřejnění dat

Skupina Rhysida se v pátek 28. srpna přihlásila ke kybernetickému útoku na berlínskou zemskou správu. Na svém vyděračském webu zveřejnila nabídku údajně odcizených dat, požadavek ve výši 30 bitcoinů a odpočet kratší než sedm dní.

Podle agentury Reuters Rhysida tvrdí, že získala 5,79 terabajtu dat, včetně přibližně 46 500 smluv, e-mailů, telefonních údajů, hesel a klasifikovaných informací.

Tento údaj ani popis obsahu nebyly nezávisle ověřeny. Pocházejí přímo od vyděračské skupiny, která má při vyjednávání zájem prezentovat rozsah incidentu jako co nejzávažnější.

Berlín potvrdil, že při útoku skutečně došlo k odtoku dat. Jejich přesný obsah a množství ale nadále analyzuje.

Útok zasáhl dvě části berlínské správy

Incident se týká především systémů Senátní správy pro mobilitu, dopravu, ochranu klimatu a životní prostředí a Senátní správy pro rozvoj města, výstavbu a bydlení.

Obě instituce byly 14. srpna z bezpečnostních důvodů odpojeny od berlínské zemské sítě. Opatření ovlivnilo také některé správní agendy městských částí, které využívají společnou technickou infrastrukturu. Omezení se dotkla například zpracování některých dopravních žádostí a výjimek.

Obě senátní správy byly podle berlínské Senátní kanceláře během víkendu před 23. srpnem znovu připojeny k zemské síti. Úřady současně zavedly dodatečná bezpečnostní opatření a zvýšený dohled nad systémy.

Forenzní vyšetřování však pokračovalo. Berlín následně potvrdil další zjištěné odtoky dat ze systémů správy pro mobilitu, dopravu, ochranu klimatu a životní prostředí. Podle města k nim došlo ještě před odpojením sítí 14. srpna.

Úřady zatím nevyloučily, že mezi zasaženými informacemi mohou být osobní nebo jiné neveřejné údaje. O nových zjištěních informovaly berlínského pověřence pro ochranu osobních údajů i německý Spolkový úřad pro bezpečnost informační techniky BSI.

Berlín výkupné odmítl

Vládní starosta Berlína Kai Wegner a senátorka pro vnitřní záležitosti Iris Spranger vydali společné prohlášení, podle kterého město na požadavky útočníků nepřistoupí.

„Spolková země Berlín se nenechá vydírat,“ uvedli představitelé města ještě předtím, než se Rhysida k útoku veřejně přihlásila.

Není zatím zcela jasné, zda 30 bitcoinů představuje částku požadovanou přímo po Berlínu, nebo cenu, za kterou Rhysida nabízí data dalším zájemcům. Reuters ji popisuje jako vyvolávací cenu aukce, zatímco některá německá média jako požadované výkupné. Berlín konkrétní částku veřejně nepotvrdil.

Incident přichází několik týdnů před volbami

Kybernetický útok přichází necelý měsíc před volbami do berlínské Poslanecké sněmovny, které jsou naplánované na 20. září 2026. Jejich blízkost zvyšuje politickou citlivost incidentu, dostupné informace ale zatím neukazují, že by jeho cílem bylo ovlivnění voleb.

Iris Spranger uvedla, že volební infrastruktura nebyla útokem zasažena. Podle bezpečnostních orgánů nebyla kompromitována ani žádná data související s volbami.

Samotné hlasování v Berlíně probíhá analogově. Technické systémy se však používají například při organizační přípravě a zveřejňování výsledků, a proto je úřady chrání také proti kybernetickým útokům.

Rhysida útočí na úřady, zdravotnictví i školy

Rhysida působí nejméně od roku 2023 a využívá model dvojího vydírání. Útočníci proniknou do prostředí oběti, odcizí data a mohou také zašifrovat její systémy. Následně požadují zaplacení výkupného a vyhrožují zveřejněním získaných informací.

Podle Reuters se skupina od svého vzniku přihlásila k téměř 280 útokům. Mezi její známé cíle patří britská národní knihovna British Library, chilská armáda, školy, zdravotnická zařízení i soukromé společnosti.

Společné bezpečnostní doporučení CISA, FBI a MS-ISAC popisuje několik způsobů, které operátoři Rhysidy v minulosti využívali k pronikání do napadených prostředí. Patří mezi ně například zneužití kompromitovaných platných přístupových údajů při přihlašování prostřednictvím VPN.

V případě Berlína zatím není veřejně potvrzeno, jakým způsobem útočníci do systémů pronikli.

Skutečný rozsah ukáže až pokračující analýza

Nejzávažnější tvrzení Rhysidy – včetně množství dat, počtu smluv nebo přítomnosti klasifikovaných dokumentů – zůstávají nepotvrzená.

Berlín však připustil, že z napadeného prostředí odešla data a že mezi nimi mohou být neveřejné či osobní informace. Pokud se alespoň část seznamu zveřejněného skupinou potvrdí, následky incidentu se nemusí omezit na obnovu systémů.

Odcizené e-maily, kontaktní údaje, smlouvy nebo přístupové informace mohou být dále zneužity například při cíleném phishingu nebo útocích proti organizacím a dodavatelům, kteří s berlínskou správou komunikovali. Úřady proto pokračují ve forenzní analýze a zvýšeném monitorování zemské sítě.

Zdroje

• Reuters: Ransomware group says it stole Berlin data, offers it for auction
• Země Berlín: Incident v berlínské zemské síti
• Země Berlín: Při incidentu unikla další data
• Země Berlín: Senátní správy byly znovu připojeny k zemské síti
• Tempelhof-Schöneberg: Omezení správních agend po kybernetickém útoku
• CISA, FBI a MS-ISAC: Bezpečnostní doporučení k ransomwaru Rhysida