Rhysida ha una mappa dei punti deboli idrici a Berlino

Cosa ha davvero preso Rhysida

Rhysida sostiene di aver preso 5,79 terabyte di dati dalla rete amministrativa dello stato-città di Berlino, distribuiti su circa 1,44 milioni di file. Il gruppo ransomware, attivo dal 2023 e ritenuto operare da Russia o Europa dell'Est, ha pubblicato la sua rivendicazione su un sito di leak il 28 agosto 2026. Lo stesso gruppo annovera già la British Library e l'esercito cileno tra le vittime precedenti, quindi non si tratta di un operatore alle prime armi che testa tattiche su un grande obiettivo governativo.

L'elenco dei file comprende contratti, email, numeri di telefono, password, materiale classificato, e dati su buste paga e violazioni amministrative che riguardano ciascuno oltre 5.000 fascicoli del personale. Rhysida afferma inoltre di possedere dump di database SQL che coprono il periodo dal 2020 al 2026, e 3.226 accordi di riservatezza firmati. Dati personali di circa 12.076 persone sarebbero inclusi nel pacchetto, una cifra che determinerà gli obblighi di notifica della violazione a prescindere dal resto.

Il dettaglio sulla rete idrica cambia il calcolo del rischio

Nascoste in quell'elenco di file ci sono valutazioni di vulnerabilità della rete idrica di Berlino, e questa sola categoria conta più della cifra in terabyte. Fascicoli del personale e dati sulle buste paga sono il contenuto tipico di una violazione comunale; una mappa documentata dei punti deboli nell'infrastruttura idrica di una capitale non lo è. Chi possiede ora quella valutazione ha un vantaggio nell'individuare dove un attacco successivo contro infrastrutture fisiche causerebbe il danno maggiore, che si tratti dello stesso Rhysida, di un acquirente all'asta minacciata, o di un attore estraneo che non visita mai il sito di leak.

Questa distinzione si perde quando una violazione viene riassunta solo dalla sua dimensione. Una tipica divulgazione ransomware genera imbarazzo, costi di notifica e possibile frode in seguito. Una divulgazione che include dati di vulnerabilità delle infrastrutture genera una lista di obiettivi. Testate come TheHackerNews, che hanno riportato la fuga, hanno trattato il dettaglio idrico come una riga tra tante; per chiunque sia responsabile di infrastrutture critiche, dovrebbe essere il titolo.

Rifiutare di pagare risolve un problema, non l'altro

Il sindaco di Berlino Kai Wegner e la senatrice agli Interni Iris Spranger hanno diffuso una dichiarazione congiunta secondo cui lo stato-città non si sottometterà al ricatto, una posizione difendibile di per sé. Rhysida ha chiesto 30 bitcoin, all'epoca della richiesta pari a circa 2 milioni di euro, con una scadenza di circa sette giorni prima di mettere all'asta i dati. Pagare un riscatto finanzia il prossimo attacco e non offre alcuna garanzia vincolante che le copie rubate vengano cancellate invece che rivendute in silenzio.

Ciò che il rifiuto non fa è restituire i dati. Una volta che un insieme di file è stato esfiltrato e pubblicato su un sito di leak, pagare o non pagare decide solo se Rhysida pubblica l'archivio completo o continua l'estorsione in privato; le copie già fatte restano comunque fuori dal controllo di Berlino. Le autorità hanno detto che sistemi e dati per le elezioni del 20 settembre non sono coinvolti, il che risponde alla domanda più urgente ma non dice nulla sull'accesso che gli aggressori hanno avuto sulla rete amministrativa prima che l'intrusione fosse scoperta.

Cosa richiede davvero la NIS2 da qui in avanti

Per gli operatori soggetti al regime NIS2 dell'UE, una posizione di non pagamento è una scelta politica, non una risposta di conformità. La NIS2 impone a soggetti essenziali e importanti obblighi di gestione del rischio, tempistiche di notifica degli incidenti e sicurezza della catena di fornitura, e un'azienda idrica comunale rientra esattamente nelle categorie che la direttiva intende proteggere, lo stesso tipo di standard verso cui il National Cyber Security Centre britannico spinge gli operatori anche al di fuori del regime UE. La domanda posta dalla NIS2 non è se Berlino abbia pagato il riscatto, ma se i dati di vulnerabilità ora in possesso di Rhysida dovessero essere raggiungibili dalla stessa rete di dati su buste paga e archivi contrattuali.

Le categorie che Rhysida sostiene di possedere illustrano l'ampiezza dell'esposizione in un solo incidente:

La segmentazione tra dati amministrativi e dati di tecnologia operativa o valutazioni di infrastrutture critiche è esattamente il tipo di controllo che la NIS2 si aspetta di vedere documentato, testato e riportato, non dato per scontato. Un'organizzazione che può dimostrare di aver segmentato quei dati, anche se la segmentazione ha fallito, si trova in una posizione diversa rispetto a una che non li ha mai separati.

Perché lo facciamo

Lo facciamo per tutti quelli che cercano di stare al passo con ciò che la tecnologia sta facendo alle nostre vite. Le persone che la costruiscono, e le persone a cui accade. Il Servola Journal esiste perché ciò che impariamo appartenga a tutti loro.

Nessuno ci paga per questo. Niente pubblicità, niente muro a pagamento, gratis per tutti. Crediamo semplicemente che capire cosa sta succedendo a tutti noi non debba dipendere da chi può permettersi di pagare per saperlo.

Se oggi questo vi ha dato qualcosa, diteci di continuare. Seguiteci, lasciate un like, o scrivete un commento positivo. Li leggiamo tutti, e sono ciò che ci fa continuare.

Da leggere ora: La violazione di Beacon non rientra in nessuna rete di protezione  |  Un'IA ha gestito da sola questo attacco ransomware