Le autorità di Berlino stanno valutando una massiccia raccolta di dati governativi dopo che il gruppo ransomware Rhysida ha rilasciato circa 1,44 milioni di file rubati sul dark web.
La pubblicazione è seguita al rifiuto di Berlino di soddisfare la richiesta di riscatto degli aggressori. Rhysida aveva tentato di mettere all’asta circa 5,8 terabyte di informazioni rubate con un prezzo minimo di 30 Bitcoin, per un valore di circa 2 milioni di euro. Dopo la scadenza del 4 settembre, il gruppo ha reso i file disponibili al pubblico tramite il suo sito di fuga di notizie sul dark web.
L’intrusione ha colpito i dipartimenti del Senato di Berlino responsabili dello sviluppo urbano e dell’edilizia, nonché della mobilità, dei trasporti, della protezione climatica e dell’ambiente. Si ritiene che gli aggressori siano riusciti a entrare tra il 7 e il 12 agosto. Le autorità hanno scoperto l’incidente il 14 agosto.
I funzionari stanno ora esaminando il materiale trapelato per determinare se la sua pubblicazione crei rischi per individui, agenzie governative o infrastrutture critiche. Berlino ha istituito squadre aggiuntive per coordinare l’analisi e rispondere quando vengono identificate informazioni particolarmente sensibili.
Gli esami iniziali indicano che la collezione va ben oltre i documenti amministrativi di routine. I rapporti descrivono fascicoli che coinvolgono dipendenti governativi, questioni di personale, piani di emergenza e altri documenti interni.
Materiale più preoccupante riguarda infrastrutture critiche e strutture sensibili. Documenti relativi all’approvvigionamento idrico di Berlino, alle centrali elettriche, alle sottostazioni, ai depositi di carburante e ai sistemi di emergenza sono stati identificati. Informazioni riguardanti carceri, aziende della difesa e altre organizzazioni sensibili alla sicurezza sarebbero apparse anche nella fuga di notizie.
Centinaia di documenti riguardanti un’espansione della Cancelleria Federale tedesca furono trovati tra i materiali rubati, inclusi piani, valutazioni e dichiarazioni delle autorità. La piena sensibilità di questi documenti è ancora in fase di valutazione.
Le informazioni personali rappresentano un altro potenziale problema. Berlino aveva precedentemente avvertito che il materiale rubato potrebbe contenere dati appartenenti a dipendenti governativi, residenti e aziende. Le autorità intendono contattare individui identificabili in base al livello di rischio creato dall’esposizione.
L’Ufficio Federale per la Sicurezza Informatica della Germania ha inoltre avvertito che le informazioni ottenute tramite la violazione potrebbero supportare attacchi di phishing mirati. Documenti interni dettagliati possono potenzialmente rendere le comunicazioni ingannevoli più convincenti fornendo agli aggressori informazioni su organizzazioni e individui.
Berlino afferma che attualmente non ci sono prove che gli aggressori siano ancora all’interno della rete statale, anche se le indagini forensi sono in corso. Le autorità stanno anche indagando se ulteriori informazioni possano essere state rimosse.
L’incidente avviene poco prima delle elezioni statali di Berlino del 20 settembre. I funzionari elettorali hanno dichiarato che, sulla base delle informazioni attualmente disponibili, i sistemi coinvolti nella preparazione e nella conduzione delle elezioni non sono stati influenzati.
Rhysida è considerata principalmente motivata finanziariamente, e le autorità tedesche non hanno ancora identificato pubblicamente un movente politico dietro l’attacco di Berlino. La priorità immediata è ora determinare esattamente cosa sia contenuto nei quasi sei terabyte di dati pubblicati e se eventuali informazioni esposte richiedano ulteriori misure di sicurezza.