Berlino, il ransomware Rhysida e il costo politico di una disconnessione tardiva

Il governo del Land di Berlino ha confermato che un attacco ransomware del gruppo Rhysida ha sottratto dati dai sistemi del Senate Department for Mobility, Transport, Climate Protection and Environment e del Senate Department for Urban Development, Construction and Housing tra il 7 e il 12 agosto 2026. La disconnessione dei dipartimenti affetti dal Landesnetz, la rete dorsale condivisa che collega circa 600 siti infrastrutturali della città-Stato, è avvenuta solo il 14 agosto: sette giorni dopo la prima rilevazione di esfiltrazione. Questo ritardo strutturale ha trasformato un incidente di sicurezza contenibile in una crisi di dati su scala metropolitana, con pubblicazione dei materiali rubati il 4-5 settembre e un'unità di crisi attivata a quindici giorni dalle elezioni del 20 settembre.

La timeline che non torna: perché sette giorni sono diventati il problema principale

Le indagini forensi hanno identificato il 7 agosto 2026 come data del primo rilevamento di esfiltrazione dal Senate Department for Mobility, Transport, Climate Protection and Environment. I sistemi hanno continuato a operare sul Landesnetz per altri sette giorni, fino alla disconnessione ordinata il 14 agosto. Secondo Florian Hauer, segretario di Stato per gli Affari digitali, i dati sono stati sottratti per circa una settimana prima che l'intrusione venisse scoperta.

Questa sequenza non è una semplice postilla tecnica. Il Landesnetz non è una rete amministrativa isolata: collega circa 600 siti tra governo, polizia, pompieri e ospedali. La decisione di disconnettere due dipartimenti da un'infrastruttura condivisa di questa portata richiede approvazioni politiche e tecniche che, nel caso berlinese, hanno allungato i tempi oltre la soglia di contenimento efficace. Il pattern operativo di Rhysida — accesso prolungato, esfiltrazione silenziosa, pubblicazione su leak site con countdown — sfrutta esattamente questa asimmetria tra velocità dell'attaccante e lentezza delle procedure di governance.

La prima divulgazione pubblica da parte di Berlino è arrivata il 17-18 agosto. Rhysida ha pubblicato la città sul proprio sito di leak il 28 agosto. La conferma ufficiale di data theft è stata rilasciata il 31 agosto. L'asta dei dati è partita il 4-5 settembre. Ogni passaggio ha allargato la superficie di esposizione, ma il nodo originario rimane quel settembre agostano di connessione mantenuta.

Cosa è stato esposto: tra rivendicazioni del gruppo e limiti delle conferme ufficiali

Rhysida ha rivendicato l'esfiltrazione di 5,79 TB di dati, circa 1,44 milioni di file, informazioni personali di 12.076 individui e 46.500 contratti. Queste cifre, riportate da BleepingComputer, SecurityWeek e The Hacker News, non sono state confermate indipendentemente dal governo di Berlino. Le autorità hanno attivato un'unità di crisi centrale per la revisione e la valutazione dei dati trafugati, ma non hanno rilasciato un proprio quantitativo di volumi compromessi.

Il gruppo ha anche affermato di aver sottratto dati classificati del Bundesrat, la camera alta del Parlamento tedesco. Questa rivendicazione non è verificata. Il governo di Berlino ha limitato le conferme ai due dipartimenti senatoriali identificati, senza estendere lo scope a istituzioni federali o ad altre entità connesse al Landesnetz.

La distinzione tra claim del ransomware e verifiche ufficiali è operativamente rilevante. Le organizzazioni che gestiscono incidenti in regime di non-pagamento, come Berlino, dipendono dalla propria capacità di audit forense per dimensionare la risposta legale e di comunicazione. Senza conferma indipendente dei volumi, il governo del Land sta procedendo su base conservativa, trattando ogni dato potenzialmente esposto come effettivamente compromesso fino a prova contraria.

Il rifiuto del riscatto e il trade-off dell'ente pubblico

"The State of Berlin will not be blackmailed" — Mayor Kai Wegner e Interior Senator Iris Spranger, dichiarazione congiunta

Il governo di Berlino ha rifiutato il pagamento di 30 bitcoin richiesto da Rhysida. La decisione, annunciata pubblicamente dal sindaco Wegner e dalla senatrice Spranger, inquadra l'incidente come "un crimine estremamente grave e un attacco allo Stato stesso". La senatrice per l'Interno ha aggiunto: "regardless of the amount demanded or the method of extortion, we will not allow this extortion to take place in the federal capital and in Berlin".

Il rifiuto del riscatto è coerente con la linea tedesca e più in generale europea di non-negoziazione con attori ransomware. Il costo effettivo di questa scelta, però, si misura sulla pubblicazione dei dati. Rhysida ha messo i materiali all'asta con prezzo iniziale di 30 bitcoin; l'equivalente in dollari varia sensibilmente tra le fonti. Secondo Reuters, il valore è di circa 77.622 dollari. Secondo SecurityWeek, si tratta di circa 2,3 milioni di dollari. La discrepanza riflette probabilmente diverse quotazioni temporali del bitcoin o diverse interpretazioni del meccanismo d'asta, ma non è stata chiarita dalle autorità.

Per un ente pubblico, il trade-off è strutturale: il principio di non-pagamento preserva l'integrità istituzionale e disincentiva gli attacchi futuri, ma espone i cittadini alla pubblicazione dei loro dati senza garanzie di controllo sulla distribuzione successiva. L'unità di crisi berlinese sta lavorando proprio su questo fronte, con la revisione dei dati trafugati finalizzata a informare gli interessati e a preparare le difese legali.

Il contesto elettorale e l'assenza di compromissione del voto

L'attacco si colloca a quindici giorni dalle elezioni del 20 settembre 2026 per la Camera dei rappresentanti di Berlino. Il timing ha sollevato interrogativi sulla possibile influenza operazionale o informativa sull'esito del voto. Le autorità hanno escluso questa ipotesi con dichiarazioni precise. La senatrice Spranger ha affermato che non vi è "evidenza che i dati elettorali siano stati compromessi" e che "l'ambiente tecnico che supporta le prossime elezioni per la Camera dei rappresentanti di Berlino è considerato sicuro".

L'indagine sull'incidente è condotta dalla polizia criminale del Land (Landeskriminalamt), dalla procura pubblica, da agenzie federali di sicurezza e dall'Ufficio federale per la sicurezza delle informazioni (BSI). La partecipazione di quest'ultimo segnala la rilevanza nazionale dell'evento, oltre la competenza locale.

Il gruppo Rhysida, attivo dal 2023 secondo il monitoraggio dei leak site, ha rivendicato circa 280 vittime globali. In Germania, The Hacker News riporta nove vittime identificate, tra cui Stoccarda (maggio 2026) e Welthungerhilfe (giugno 2025). L'attribuzione geografica del gruppo — aree di lingua russa o Europa orientale secondo fonti di analisi — non è confermata da prove tecniche pubbliche.

Perché è importante

L'incidente berlinese documenta un pattern di governance più che una falla tecnica singola. Il Landesnetz è progettato per l'interoperabilità tra servizi essenziali: la stessa architettura che permette coordinamento tra governo, emergenza e sanità crea superfici di propagazione che le procedure di contenimento non riescono a sezionare rapidamente. Il gap di sette giorni non è frutto di negligenza individuale ma della struttura decisionale che governa reti critiche in contesti democratici.

Per altri enti pubblici europei, il caso offre un precedente operativo concreto: il rifiuto del riscatto ha evitato il finanziamento di un gruppo criminale, ma non ha impedito la pubblicazione dei dati. La misura effettiva della protezione dei cittadini dipende dalla velocità di disconnessione e dalla qualità del backup forenso, non dalla posizione etica sul pagamento. Berlino ha scelto la seconda linea; il costo si legge nei 12.076 individui (secondo rivendicazione non verificata) potenzialmente esposti e nell'unità di crisi ancora operativa a due settimane dal voto.

Il dossier non specifica il metodo di accesso iniziale utilizzato in questo attacco, né eventuali movimenti laterali all'interno del Landesnetz prima del contenimento. Non documenta misure correttive specifiche applicate dopo il 14 agosto né la natura esatta dei dati esposti oltre la tipologia amministrativa dei dipartimenti coinvolti.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://www.devdiscourse.com/article/technology/3973190-cybersecurity-crisis-berlin-departments-hit-by-ransomware?amp
• https://whbl.com/2026/09/05/berlin-launches-crisis-response-after-hackers-publish-stolen-data/
• https://www.globalbankingandfinance.com/berlin-launches-crisis-response-hackers-publish-stolen-data/
• https://tech-insider.org/berlin-ransomware-isolation-gap-rhysida-2026/
• https://www.escudodigital.com/en/cybersecurity/berlin-refuses-ransom-demand-after-state-network-cyberattack.html
• https://tech-insider.org/berlin-confirms-data-theft-rhysida-ransomware-2026/
• https://www.bleepingcomputer.com/news/security/berlin-confirms-data-theft-after-rhysida-ransomware-attack-claims/
• https://thehackernews.com/2026/08/berlin-refuses-to-pay-hackers-who-stole.html
• https://www.securityweek.com/berlin-wont-pay-extortion-group-claiming-data-theft/