Rhysida attacca il governo di Berlino: asta dei dati e rifiuto del riscatto

Il gruppo ransomware Rhysida ha rivendicato l'attacco al governo di Berlino il 28 agosto 2026, offrendo all'asta 5,79 TB di dati presumibilmente rubati per 30 bitcoin. Le autorità berlinesi hanno rifiutato di cedere alle estorsioni. Le elezioni del parlamento statale sono fissate al 20 settembre 2026.

Timeline dell'incidente: dal rilevamento alla riconnessione

Secondo quanto ricostruito dagli investigatori forensi e riportato da Security Affairs, l'esfiltrazione dati ha avuto inizio il 7 agosto 2026. Il rilevamento interno avvenne in quella stessa data. La rete è stata isolata pubblicamente il 17 agosto.

Il 23 agosto tutti i dipartimenti del Senato erano stati riconnessi. La richiesta di riscatto è arrivata giovedì 27 agosto intorno alle 17:30, secondo RBB24. Il gruppo è descritto come "noto al Senato" da fonti locali tedesche.

L'intervallo tra rilevamento il 7 agosto e isolamento il 17 agosto solleva questioni sui tempi di risposta, che le autorità non hanno commentato in dettaglio. L'indagine forense ha determinato la finestra effettiva di esfiltrazione.

Il meccanismo dell'asta e le cifre in gioco

Rhysida ha adottato il meccanismo dell'asta in luogo della classica richiesta diretta di riscatto. Il prezzo di partenza di 30 bitcoin, equivalenti a circa 77.622 dollari secondo Reuters, è accompagnato da un timer di circa 7 giorni.

Questa modalità, citata da Reuters tramite Internazionale e confermata da Devdiscourse, introduce una dinamica competitiva tra potenziali acquirenti. Il timer crea pressione temporale aggiuntiva rispetto al modello tradizionale.

Va notata una discrepanza nelle fonti: RBB24 ha titolato su una cifra di circa 2 milioni di euro in Bitcoin, non verificata nel corpo dell'articolo. Reuters ha riportato 30 bitcoin (77.622 dollari). Le autorità non hanno confermato alcuna cifra.

La rivendicazione di Rhysida include 5,79 TB di dati, circa 1,44 milioni di file, 12.076 individui con informazioni personali presumibilmente esposte, 16.389 indirizzi email, 11.963 numeri di telefono e 148 IBAN. Il governo di Berlino ha dichiarato che l'esame dell'entità effettiva della violazione è ancora in corso.

"The state of Berlin will not submit to extortion" — Kai Wegner, sindaco di Berlino, e Iris Spranger, senatrice agli Interni, conferenza stampa dopo riunione speciale del Senato

Profilo del gruppo e contesto storico

Rhysida è emerso nel 2023 e ha rivendicato circa 280 attacchi, secondo eCrime.ch citato da Reuters con conferma di Ransom-DB. In Germania, il gruppo aveva precedenti nove vittime documentate prima di questa compromissione.

Un advisory FBI/CISA del 2023 documenta pattern storici del gruppo: accesso iniziale tramite VPN compromesse, sfruttamento della vulnerabilità Zerologon, campagne di phishing e movimento laterale con strumenti di sistema legittimi. Questi pattern non sono confermati come vettori dell'attacco a Berlino.

Il vettore di accesso iniziale specifico dell'incidente berlinese non è stato reso pubblico. Le fonti indicano "Russia o Europa orientale" come area di origine ipotizzata dai ricercatori, non come certezza. Il nome "Rhysida" è un'etichetta operativa, non identifica individui.

Cosa fare adesso

Le autorità berlinesi hanno escluso il pagamento del riscatto. L'infrastruttura elettorale è stata dichiarata non compromessa dalla senatrice Spranger, con supporto dei funzionari di sicurezza: "Nach jetzigem Stand sind dort keinerlei Daten abgeflossen und die Wahlumgebung ist sicher nach Angaben unserer Sicherheitsbeauftragten".

Il governo continua a operare con i dipartimenti riconnessi. L'indagine sull'entità effettiva della violazione è in corso. Non è noto se i dati siano stati effettivamente venduti all'asta o se l'asta sia un meccanismo di pressione.

Le autorità non hanno indicato se le persone i cui dati sono presumibilmente esposti saranno contattate individualmente. L'esame dell'entità effettiva della violazione determinerà le comunicazioni successive.

Contesto e limiti delle fonti

Questo articolo si basa su fonti giornalistiche: Security Affairs come fonte principale, Reuters via Internazionale e Devdiscourse per i dati sull'asta, RBB24 per i dettagli locali tedeschi.

Le cifre di 5,79 TB, 1,44 milioni di file e 12.076 individui esposti derivano esclusivamente dalla rivendicazione di Rhysida, non verificate indipendentemente dalle autorità. Nessuna fonte primaria di incident response è disponibile; i dati tecnici derivano da rivendicazione del gruppo e fonti giornalistiche.

Le elezioni del parlamento statale di Berlino sono previste per il 20 settembre 2026. L'espressione "a tre settimane dal voto" è un calcolo editoriale basato sulla data dell'evento (28 agosto) e quella elettorale.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://securityaffairs.com/198064/cyber-crime/rhysida-ransomware-group-targets-berlin-government-ahead-of-vote.html
• https://www.internazionale.it/ultime-notizie-reuters/2026/08/28/berlin-city-government-says-it-won-t-submit-to-extortion-after-pre-election-cyberattack
• https://www.devdiscourse.com/article/international/3969225-ransomware-group-says-it-stole-berlin-data-offers-it-for-auction?amp
• https://www.rbb24.de/politik/beitrag/2026/08/berlin-hackerangriff-landesnetz-loesegeld-forderung-erpresser.html
• https://securityaffairs.com/154224/malware/fbi-cisa-rhysida-ransomware-gang.html
• https://securityaffairs.com/198064/cyber-crime/rhysida-ransomware-group-targets-berlin-government-ahead-of-vote.html?amp
• https://www.infosectoday.io/rhysida-ransomware-group-targets-berlin-government-ahead-of-vote
• https://blog.rankiteo.com/lan1787963614-berlin-state-agencies-ransomware-august-2026/
• https://www.devdiscourse.com/article/international/3969228-us-officials-backpedal-on-claims-that-government-agencies-were-hacked-by-chinese-now-say-they-were-targets?amp