Администрация Берлина подтвердила, что город подвергается попытке кибервымогательства после того, как его внесли на сайт утечек, связанный с группой вымогателей Rhysida, которая утверждает, что украла данные из административной сети города. Атака была обнаружена в середине августа, прежде чем группа публично заявила о своей ответственности за неё 28 августа 2026 года.
Мэр Берлина Kai Wergner заявил, что город не будет платить нападающим. Параллельно полиция федеральной земли, прокуратура и федеральные службы безопасности начали расследование инцидента. Пострадавшие подразделения были отключены от сети федеральной земли 14 августа после обнаружения признаков извлечения данных из систем.
Каков заявленный объём данных?
Rhysida утверждает, что извлекла 5,79 терабайта данных, распределённых примерно по 1,44 миллиона файлов. Власти пока не подтвердили достоверность этой цифры или полноту перечня данных, которые, по словам группы, ей удалось получить, поскольку уголовное расследование и цифровая криминалистическая экспертиза всё ещё продолжаются.
Согласно опубликованной нападающими информации, заявленные данные включают правительственные, юридические, финансовые и контрактные записи, документы отдела кадров, а также сведения об инфраструктуре, здравоохранении и картах. В перечень также входят имена, адреса электронной почты и номера телефонов, 148 номеров IBAN, а также учётные данные в открытом виде, аккаунты баз данных, данные платёжных систем и хранилищ паролей.
Группа также говорит о файлах сотрудников, ведомостях заработной платы, архивах электронной почты, копиях баз данных SQL, документах, удостоверяющих личность, и банковской информации, а также о документах, связанных с дисциплинарными процедурами и конкретными делами. Среди наиболее чувствительных утверждений — наличие записей комитетов Bundesrat и информации об обращении с секретными документами, оценок безопасности критически важной инфраструктуры, связанной с водоснабжением Берлина, а также более 3200 документов, помеченных как соглашения о неразглашении.
Давление с использованием Общего регламента по защите данных
Нападающие используют возможные нарушения Общего регламента по защите данных (GDPR) как средство давления и, согласно сообщению, предоставили правительству Берлина четыре дня до публикации украденных файлов. Это означает, что угроза не ограничивается нарушением работы систем, а распространяется и на возможное раскрытие персональных данных и чувствительных административных документов, хотя фактический объём утечки пока не подтверждён.
Что установлено, а что пока не решено?
Судебные следователи сообщили, что данные также были извлечены из управления Сената по вопросам мобильности, транспорта, защиты климата и окружающей среды, предположительно в период с 7 по 12 августа. В то же время Senator Iris Spranger заявила, что доказательств взлома данных выборов нет и что техническая среда, обеспечивающая проведение предстоящих выборов в Палату представителей Берлина, считается безопасной.
Первоначальный способ проникновения в сеть пока не раскрывается. Это имеет практическое значение, поскольку подтверждение кражи данных не объясняет, была ли проблема вызвана украденными учётными записями, уязвимостью или иным способом. Ранее операторы Rhysida использовали вредоносные установщики Teams для взлома целей в кампании, которую остановила Microsoft, однако источник не подтверждает использование того же метода в атаке на Берлин.
Почему эта новость важна?
Значимость инцидента определяется сочетанием трёх факторов: атакой на крупную государственную администрацию, возможной компрометацией персональных данных и чувствительных инфраструктурных документов, а также использованием обязательств по защите данных для усиления эффекта вымогательства. Тем не менее сведения о масштабе кражи и её содержании следует считать утверждениями группы вымогателей до завершения их проверки властями.