Grupa Rhysida opublikowała 5,8 terabajta danych rządu Berlina po odmowie zapłaty 2 mln euro okupu

Grupa ransomware Rhysida opublikowała w piątek, 4 września 2026 r., blisko 5,8 terabajta skradzionych danych rządowych w darknecie, po tym jak władze Berlina odmówiły spełnienia żądań finansowych. Cyberprzestępcy domagali się 30 bitcoinów, co stanowi równowartość około 2 mln euro. Opublikowane repozytorium zawiera około 1,44 mln plików wydobytych z serwerów stanowych podczas włamania wykrytego kilka tygodni wcześniej. Burmistrz Berlina Kai Wegner bronił stanowiska władz miejskich wobec szantażu, podkreślając, że ulegnięcie żądaniom nie daje gwarancji, iż skradzione dane nie zostaną ponownie udostępnione.

Burmistrz Kai Wegner przedstawił stanowisko administracji w wywiadzie dla dziennika Bild.

Kto może zagwarantować, że nawet gdybyśmy zapłacili, te dane nie znajdowałyby się już dawno gdzie indziej?

Zakłócenia administracyjne w wydziałach miejskich

Do włamania doszło 14 sierpnia 2026 r. Atak wymierzony był w sieci komputerowe Berlina i dotknął dwa główne wydziały administracyjne. W odpowiedzi na incydent specjaliści IT odłączyli na tydzień sieci kilku oddziałów miejskich, aby powstrzymać rozprzestrzenianie się ataku w infrastrukturze stanowej. Wyłączenie szczególnie dotknęło wydziały Senatu odpowiedzialne za mieszkalnictwo i ochronę środowiska, paraliżując standardowe procedury miejskie. W konsekwencji odłączenia sieci obywatele nie mogli składać wniosków o dodatki mieszkaniowe, a regularne wypłaty świadczeń były wstrzymane przez kilka dni. Władze miejskie potwierdziły, że wybory stanowe w Berlinie, zaplanowane na 20 września 2026 r., pozostają w pełni bezpieczne i odbędą się zgodnie z planem.

Zakres wycieku danych osobowych i dokumentacji bezpieczeństwa

Znaczna część przejętych danych obejmuje wrażliwe informacje o urzędnikach, w tym listy płac, numery kont bankowych, skany dokumentów tożsamości oraz zapisy postępowań dyscyplinarnych i zarzutów o zaniedbania zawodowe. Oprócz danych pracowników administracji archiwum zawiera wrażliwe informacje operacyjne, takie jak protokoły zapobiegania zagrożeniom berlińskiej straży pożarnej oraz dokumentację dotyczącą rozbudowy Urzędu Kanclerskiego. Pliki zawierają również materiały dotyczące bezpieczeństwa narodowego, w tym akta śledcze Krajowego Urzędu Kryminalnego (LKA) oraz plany interwencji kryzysowych w przypadku zagrożeń chemicznych, biologicznych, radiologicznych i nuklearnych. Dziennikarz śledczy Lars Winkelsdorf zauważył, że opublikowana baza zawiera dane kontrahentów obronnych oraz federalną komunikację kryzysową przeznaczoną na wypadek katastrof.

Mobilizacja sztabu kryzysowego i poprzednie kampanie szantażu

Stanowy rząd Berlina powołał w sobotę, 5 września 2026 r., centralny sztab kryzysowy, który ma nadzorować weryfikację i analizę kryminalistyczną ujawnionych plików. Urzędnicy miejscy określili cyberatak jako niezwykle poważne przestępstwo przeciwko państwu i poinstruowali opinię publiczną, aby powstrzymała się od rozpowszechniania niezweryfikowanych materiałów w mediach społecznościowych. Administracja ogłosiła, że wszystkie osoby i podmioty gospodarcze, których dane wyciekły, otrzymają bezpośrednie powiadomienie zgodnie z niemieckimi i unijnymi przepisami o ochronie danych. Incydent przypomina podobną kampanię grupy Rhysida przeciwko British Library jesienią 2023 r., gdzie napastnicy żądali ponad 760 tys. euro, a po odrzuceniu żądań opublikowali w darknecie około 500 tys. plików z danymi odwiedzających, subskrybentów i personelu.