Rhysida heeft nu Berlijns waterzwakke plekken in kaart

Wat Rhysida daadwerkelijk heeft buitgemaakt

Rhysida zegt 5,79 terabyte aan gegevens te hebben buitgemaakt uit het bestuurlijke netwerk van de deelstaat Berlijn, verspreid over ongeveer 1,44 miljoen bestanden. De ransomware-groep, actief sinds 2023 en vermoedelijk opererend vanuit Rusland of Oost-Europa, plaatste haar claim op 28 augustus 2026 op een lekwebsite. Dezelfde groep noemt al eerder de British Library en het Chileense leger als slachtoffer, dit is dus geen beginnende actor die tactieken uitprobeert op een groot overheidsdoelwit.

De bestandenlijst omvat contracten, e-mails, telefoonnummers, wachtwoorden, geclassificeerd materiaal, en loon- en overtredingsdossiers met elk meer dan 5.000 personeelsdossiers. Rhysida claimt ook SQL-databasedumps te bezitten die de periode 2020 tot 2026 beslaan, en 3.226 ondertekende geheimhoudingsovereenkomsten. Persoonsgegevens van naar verluidt ongeveer 12.076 personen zouden ook zijn inbegrepen, een aantal dat los van de rest van de gegevens de meldplicht bij datalekken zal bepalen.

Het detail over de watervoorziening verandert de risico-inschatting

Verscholen in die bestandenlijst zitten kwetsbaarheidsanalyses van Berlijns watervoorziening, en juist die categorie weegt zwaarder dan het terabyte-cijfer. Personeelsdossiers en loongegevens zijn de gebruikelijke inhoud van een gemeentelijk datalek; een gedocumenteerde kaart van zwakke plekken in de waterinfrastructuur van een hoofdstad is dat niet. Wie die analyse nu bezit, heeft een voorsprong bij het bepalen waar een vervolgaanval op fysieke infrastructuur de meeste schade zou aanrichten, of de aanvaller nu Rhysida zelf is, een koper op de aangekondigde veiling, of een niet-gerelateerde actor die de lekwebsite nooit bezoekt.

Dit onderscheid gaat verloren wanneer een datalek alleen wordt samengevat aan de hand van zijn omvang. Een typische ransomware-onthulling levert gêne, meldingskosten en mogelijk latere fraude op. Een onthulling die kwetsbaarheidsgegevens van infrastructuur bevat, levert een dreigingslijst op. Media als TheHackerNews, die over het lek berichtten, behandelden het waterdetail als één regel tussen vele; voor wie verantwoordelijk is voor kritieke infrastructuur zou het de kop moeten zijn.

Weigeren te betalen lost het ene probleem op, niet het andere

Berlijns burgemeester Kai Wegner en interieursenator Iris Spranger brachten een gezamenlijke verklaring uit dat de deelstaat zich niet aan afpersing zal onderwerpen, een standpunt dat op zichzelf verdedigbaar is. Rhysida eiste 30 bitcoin, destijds ongeveer 2 miljoen euro waard, met een termijn van ongeveer zeven dagen voordat de gegevens zouden worden geveild. Losgeld betalen financiert de volgende aanval en biedt geen bindende garantie dat gestolen kopieën worden verwijderd in plaats van stiekem doorverkocht.

Wat weigeren niet doet, is de gegevens terugbrengen. Zodra een bestandenset is geëxfiltreerd en op een lekwebsite is geplaatst, bepaalt betalen of niet betalen alleen nog of Rhysida het volledige archief publiceert of de afpersing privé voortzet; de reeds gemaakte kopieën blijven hoe dan ook buiten Berlijns controle. Functionarissen zeggen dat systemen en gegevens voor de verkiezingen van 20 september niet zijn geraakt, wat de meest dringende vraag beantwoordt maar niets zegt over de toegang die de aanvallers tot het bestuursnetwerk hadden voordat de inbraak werd ontdekt.

Wat de NIS2 vanaf hier daadwerkelijk vereist

Voor operators binnen het NIS2-regime van de EU is een standpunt van niet-betalen een beleidskeuze, geen antwoord op nalevingsvragen. De NIS2 verplicht essentiële en belangrijke entiteiten tot risicobeheer, meldtermijnen bij incidenten en beveiliging van de toeleveringsketen, en een gemeentelijk waterbedrijf valt precies binnen de categorieën die de richtlijn wil beschermen, het soort standaard waartoe het Britse National Cyber Security Centre operators aanspoort, zelfs buiten het EU-regime. De vraag die de NIS2 stelt, is niet of Berlijn het losgeld betaalde, maar of de kwetsbaarheidsgegevens die Rhysida nu bezit ooit bereikbaar hadden mogen zijn vanuit hetzelfde netwerk als loongegevens en contractarchieven.

De categorieën die Rhysida claimt te bezitten illustreren de omvang van de blootstelling in één incident:

Segmentatie tussen bestuurlijke gegevens en gegevens over operationele technologie of kwetsbaarheidsbeoordelingen van kritieke infrastructuur is precies het soort beheersmaatregel die de NIS2 gedocumenteerd, getest en gerapporteerd wil zien, niet verondersteld. Een organisatie die kan aantonen dat zij die gegevens heeft gesegmenteerd, zelfs als die segmentatie faalde, staat er anders voor dan een organisatie die ze nooit heeft gescheiden.

Waarom we dit doen

We doen dit voor iedereen die probeert bij te houden wat technologie met ons leven doet. De mensen die het bouwen, en de mensen die het overkomt. Het Servola Journal bestaat zodat wat we leren van hen allemaal is.

Niemand betaalt ons hiervoor. Geen advertenties, geen betaalmuur, gratis voor iedereen. We geloven gewoon dat begrijpen wat er met ons allemaal gebeurt niet zou moeten afhangen van wie het zich kan veroorloven ervoor te betalen.

Als dit u vandaag iets heeft gegeven, laat het ons weten zodat we door kunnen gaan. Volg ons, laat een like achter, of schrijf een positieve reactie. We lezen ze allemaal, en zij zijn wat ons op de been houdt.

Lees hierna: Beacons datalek valt buiten elk vangnet  |  Een AI voerde deze hele ransomware-aanval alleen uit