Rhysida ya tiene los puntos débiles del agua de Berlín

Lo que Rhysida realmente se llevó

Rhysida asegura haber tomado 5,79 terabytes de datos de la red administrativa del estado-ciudad de Berlín, repartidos en aproximadamente 1,44 millones de archivos. El grupo de ransomware, activo desde 2023 y presuntamente operando desde Rusia o Europa del Este, publicó su reclamo en un sitio de filtraciones el 28 de agosto de 2026. El mismo grupo ha reclamado antes a la Biblioteca Británica y al Ejército chileno entre sus víctimas, así que no se trata de un operador novato probando tácticas contra un gran objetivo gubernamental.

La lista de archivos incluye contratos, correos electrónicos, números de teléfono, contraseñas, material clasificado, y datos de nómina y de infracciones administrativas que afectan a más de 5.000 expedientes de personal cada uno. Rhysida también afirma tener volcados de bases de datos SQL que abarcan de 2020 a 2026, y 3.226 acuerdos de confidencialidad firmados. Datos personales de aproximadamente 12.076 personas estarían incluidos en el conjunto, una cifra que determinará las obligaciones de notificación de brechas al margen de todo lo demás.

El detalle del suministro de agua cambia el cálculo de riesgo

Entre esa lista de archivos hay evaluaciones de vulnerabilidad del suministro de agua de Berlín, y esa categoría por sí sola pesa más que la cifra de terabytes. Los expedientes de personal y los datos de nómina son el contenido habitual de una filtración municipal; un mapa documentado de puntos débiles en la infraestructura hídrica de una capital no lo es. Quien tenga ahora esa evaluación cuenta con ventaja para identificar dónde un ataque posterior contra infraestructura física causaría más daño, ya sea el propio Rhysida, un comprador en la subasta anunciada, o un actor ajeno que nunca visite el sitio de filtraciones.

Esta distinción se pierde cuando una filtración se resume solo por su tamaño. Una filtración de ransomware típica genera vergüenza, costes de notificación y posiblemente fraude más adelante. Una filtración que incluye datos de vulnerabilidad de infraestructura genera una lista de objetivos. Medios como TheHackerNews, que informaron sobre la filtración, trataron el detalle del agua como una línea más entre muchas; para cualquiera responsable de infraestructura crítica, debería ser el titular.

Negarse a pagar resuelve un problema, no el otro

El alcalde de Berlín, Kai Wegner, y la senadora del Interior, Iris Spranger, emitieron un comunicado conjunto afirmando que el estado-ciudad no se someterá a la extorsión, una postura defendible por sí misma. Rhysida exigió 30 bitcoins, con un valor aproximado de 2 millones de euros en el momento de la exigencia, con un plazo de unos siete días antes de subastar los datos. Pagar un rescate financia el siguiente ataque y no ofrece ninguna garantía vinculante de que las copias robadas se eliminen en lugar de revenderse en silencio.

Lo que la negativa no hace es devolver los datos. Una vez que un conjunto de archivos ha sido exfiltrado y publicado en un sitio de filtraciones, pagar o no pagar solo decide si Rhysida publica el archivo completo o sigue extorsionando en privado; las copias ya hechas quedan fuera del control de Berlín de todas formas. Las autoridades han dicho que los sistemas y datos para las elecciones del 20 de septiembre no se ven afectados, lo que responde a la pregunta más urgente pero no dice nada sobre el acceso que tuvieron los atacantes en la red administrativa antes de que se detectara la intrusión.

Lo que la NIS2 exige realmente a partir de ahora

Para los operadores dentro del régimen NIS2 de la UE, una postura de no pago es una decisión de política, no una respuesta de cumplimiento. La NIS2 impone a las entidades esenciales e importantes obligaciones de gestión de riesgos, plazos de notificación de incidentes y seguridad de la cadena de suministro, y una empresa municipal de agua encaja de lleno en las categorías que la directiva pretende proteger, el mismo tipo de estándar hacia el que el Centro Nacional de Ciberseguridad del Reino Unido empuja a los operadores incluso fuera del régimen de la UE. La pregunta que plantea la NIS2 no es si Berlín pagó el rescate, sino si los datos de vulnerabilidad que Rhysida ahora posee deberían haber sido accesibles desde la misma red que los archivos de nómina y los contratos.

Las categorías que Rhysida afirma tener ilustran el alcance de la exposición en un solo incidente:

La segmentación entre registros administrativos y datos de tecnología operativa o de evaluación de infraestructura crítica es exactamente el tipo de control que la NIS2 espera ver documentado, probado y reportado, no dado por supuesto. Una organización que pueda demostrar que segmentó esos datos, aunque la segmentación fallara, está en una posición distinta a una que nunca los separó.

Por qué hacemos esto

Hacemos esto por todos los que intentan seguirle el ritmo a lo que la tecnología le está haciendo a nuestras vidas. Las personas que la construyen, y las personas a quienes les sucede. El Servola Journal existe para que lo que aprendemos pertenezca a todos ellos.

Nadie nos paga por esto. Sin anuncios, sin muro de pago, gratis para todos. Simplemente creemos que entender lo que nos está pasando a todos no debería depender de quién puede permitirse pagar por ello.

Si esto le ha dado algo hoy, díganos que sigamos adelante. Síganos, deje un me gusta, o escriba un comentario positivo. Leemos cada uno de ellos, y son lo que nos mantiene en marcha.

Leer a continuación: La brecha de Beacon queda fuera de cualquier red de seguridad  |  Una IA ejecutó todo este ataque de ransomware sola