La administración de la ciudad de Berlín confirmó que la ciudad está siendo objeto de un intento de extorsión cibernética después de ser incluida en un sitio de filtraciones operado por el grupo de ransomware Rhysida, que afirma haber robado datos de la red administrativa de la ciudad. El ataque fue descubierto a mediados de agosto, antes de que el grupo reivindicara públicamente su responsabilidad el 28 de agosto de 2026.
El alcalde de Berlín, Kai Wergner, declaró que la ciudad no pagará a los atacantes. Paralelamente, la policía criminal del estado, la fiscalía y las agencias federales de seguridad iniciaron una investigación sobre el incidente. Las entidades afectadas habían sido aisladas de la red estatal el 14 de agosto, después de que se detectaran indicios de extracción de datos de los sistemas.
¿Cuál es el volumen de datos objeto de la afirmación?
Rhysida afirma haber extraído 5,79 terabytes de datos, distribuidos en aproximadamente 1,44 millones de archivos. Las autoridades aún no han confirmado la veracidad de esta cifra ni la integridad de la lista de datos que, según el grupo, obtuvo, ya que la investigación penal y el análisis forense digital continúan.
Según lo publicado por los atacantes, los datos supuestamente incluyen registros gubernamentales, legales, financieros y contractuales, así como recursos humanos, además de información sobre infraestructuras, salud y mapas. La lista también contiene nombres, direcciones de correo electrónico y números de teléfono, 148 números IBAN, además de credenciales en texto claro, cuentas de bases de datos, datos de sistemas de pago y bóvedas de contraseñas.
El grupo también habla de expedientes de empleados, nóminas, archivos de correo electrónico, copias de bases de datos SQL, documentos de identidad e información bancaria, además de documentos relacionados con procedimientos disciplinarios y casos específicos. Entre las afirmaciones más delicadas se encuentra la existencia de registros de comités del Bundesrat e información sobre la gestión de documentos clasificados, evaluaciones de seguridad de infraestructuras críticas relacionadas con el suministro de agua en Berlín y más de 3200 documentos marcados con acuerdos de confidencialidad.
La presión mediante el Reglamento General de Protección de Datos
Los atacantes utilizan la posibilidad de infracciones del Reglamento General de Protección de Datos (GDPR) como medio de presión y, según el informe, concedieron al Gobierno de Berlín un plazo de cuatro días antes de publicar los archivos robados. Esto significa que la amenaza no se limita a la interrupción de los sistemas, sino que también abarca la posible exposición de datos personales y documentos administrativos sensibles, aunque el volumen real de la filtración aún no se ha confirmado.
¿Qué se ha confirmado y qué sigue sin resolverse?
Investigadores criminales informaron de que también se extrajeron datos de la Administración del Senado para Movilidad, Transporte y Protección del Clima y el Medio Ambiente, probablemente entre el 7 y el 12 de agosto. En cambio, la Senator Iris Spranger afirmó que no hay pruebas de una vulneración de los datos electorales y que el entorno técnico que sustenta las próximas elecciones a la Cámara de Representantes de Berlín se considera seguro.
El método de acceso inicial a la red aún no se ha hecho público. Este punto tiene importancia práctica, porque confirmar el robo de datos no aclara si el fallo se debió a cuentas robadas, una vulnerabilidad u otro medio. En el pasado, operadores de Rhysida utilizaron instaladores maliciosos de Teams para comprometer objetivos en una campaña que Microsoft interrumpió, pero la fuente no demuestra que se empleara el mismo método en el ataque contra Berlín.
¿Por qué es importante esta noticia?
La importancia del incidente reside en la combinación de tres elementos: el ataque contra una gran administración gubernamental, el posible riesgo para datos personales y documentos de infraestructuras sensibles, y el uso de las obligaciones de protección de datos para maximizar el impacto de la extorsión. No obstante, los detalles sobre el volumen del robo y su contenido deben considerarse afirmaciones del grupo de ransomware hasta que las autoridades terminen de verificarlos.