Rhysida tem o mapa das fraquezas hídricas de Berlim

O que a Rhysida levou de facto

A Rhysida afirma ter retirado 5,79 terabytes de dados da rede administrativa do estado-cidade de Berlim, distribuídos por cerca de 1,44 milhões de ficheiros. O grupo de ransomware, ativo desde 2023 e presumivelmente a operar a partir da Rússia ou da Europa de Leste, publicou a sua reivindicação num sítio de fugas a 28 de agosto de 2026. O mesmo grupo já conta com a British Library e o exército chileno entre vítimas anteriores, pelo que não se trata de um operador iniciante a testar táticas contra um grande alvo governamental.

A lista de ficheiros inclui contratos, correio eletrónico, números de telefone, palavras-passe, material classificado, e dados de vencimentos e de infrações administrativas que abrangem, cada um, mais de 5.000 processos de pessoal. A Rhysida afirma ainda possuir extrações de bases de dados SQL que cobrem o período de 2020 a 2026, e 3.226 acordos de confidencialidade assinados. Dados pessoais de cerca de 12.076 pessoas terão sido igualmente incluídos, um número que, independentemente do resto, determinará as obrigações de notificação de violação de dados.

O pormenor sobre a água muda o cálculo do risco

Escondidas nessa lista de ficheiros estão avaliações de vulnerabilidade do abastecimento de água de Berlim, e essa única categoria pesa mais do que o número de terabytes. Processos de pessoal e dados de vencimentos são o conteúdo habitual de uma fuga municipal; um mapa documentado de pontos fracos na infraestrutura hídrica de uma capital não é. Quem detém agora essa avaliação tem uma vantagem em identificar onde um ataque posterior contra infraestrutura física causaria mais danos, seja o atacante a própria Rhysida, um comprador no leilão ameaçado, ou um agente sem qualquer ligação que nunca visite o sítio de fugas.

Essa distinção perde-se quando uma fuga é resumida apenas pela sua dimensão. Uma divulgação de ransomware típica traz constrangimento, custos de notificação e possivelmente fraude mais tarde. Uma divulgação que inclua dados de vulnerabilidade de infraestrutura produz uma lista de alvos. Órgãos como o TheHackerNews, que noticiaram a fuga, trataram o pormenor sobre a água como mais uma linha entre muitas; para quem é responsável por infraestrutura crítica, deveria ser a manchete.

Recusar pagar resolve um problema, não o outro

O presidente da câmara de Berlim, Kai Wegner, e a senadora do Interior, Iris Spranger, emitiram uma declaração conjunta a afirmar que o estado-cidade não se vai submeter a extorsão, uma posição defensável por si só. A Rhysida exigiu 30 bitcoins, na altura avaliados em cerca de 2 milhões de euros, com um prazo de cerca de sete dias antes de leiloar os dados. Pagar um resgate financia o próximo ataque e não oferece qualquer garantia vinculativa de que as cópias roubadas sejam eliminadas em vez de revendidas silenciosamente.

O que a recusa não faz é devolver os dados. Assim que um conjunto de ficheiros é exfiltrado e publicado num sítio de fugas, pagar ou não pagar só decide se a Rhysida publica o arquivo completo ou continua a extorsão em privado; as cópias já feitas ficam, de qualquer forma, fora do controlo de Berlim. As autoridades disseram que os sistemas e dados para as eleições de 20 de setembro não são afetados, o que responde à pergunta mais urgente mas nada diz sobre o acesso que os atacantes tiveram à rede administrativa antes de a intrusão ser detetada.

O que a NIS2 exige de facto a partir daqui

Para os operadores abrangidos pelo regime NIS2 da UE, uma postura de não pagamento é uma escolha política, não uma resposta de conformidade. A NIS2 impõe a entidades essenciais e importantes obrigações de gestão de risco, prazos de notificação de incidentes e segurança da cadeia de fornecimento, e uma empresa municipal de água enquadra-se exatamente nas categorias que a diretiva pretende proteger, o tipo de padrão para o qual o National Cyber Security Centre britânico empurra os operadores mesmo fora do regime da UE. A pergunta que a NIS2 coloca não é se Berlim pagou o resgate, mas se os dados de vulnerabilidade agora na posse da Rhysida deveriam sequer ter sido acessíveis a partir da mesma rede que os dados de vencimentos e os arquivos contratuais.

As categorias que a Rhysida afirma possuir ilustram a amplitude da exposição num único incidente:

A segmentação entre dados administrativos e dados de tecnologia operacional ou de avaliação de infraestrutura crítica é exatamente o tipo de controlo que a NIS2 espera ver documentado, testado e reportado, não presumido. Uma organização capaz de demonstrar que segmentou esses dados, mesmo que a segmentação tenha falhado, está numa posição diferente da de uma que nunca os separou.

Porque fazemos isto

Fazemos isto por todos os que tentam acompanhar aquilo que a tecnologia está a fazer às nossas vidas. As pessoas que a constroem, e as pessoas a quem ela acontece. O Servola Journal existe para que aquilo que aprendemos pertença a todos eles.

Ninguém nos paga por isto. Sem anúncios, sem barreira de pagamento, gratuito para todos. Acreditamos simplesmente que compreender o que está a acontecer a todos nós não devia depender de quem tem posses para pagar por isso.

Se isto lhe deu algo hoje, diga-nos para continuarmos. Siga-nos, deixe um gosto, ou escreva um comentário positivo. Lemos todos e cada um deles, e são eles que nos mantêm em marcha.

Leia a seguir: A falha da Beacon não cabe em nenhuma rede de proteção  |  Uma IA executou sozinha todo este ataque de ransomware