Rhysida har nu en karta över Berlins vattensvagheter

Vad Rhysida faktiskt tog

Rhysida hävdar att de tagit 5,79 terabyte data från Berlins delstatliga förvaltningsnätverk, fördelat på omkring 1,44 miljoner filer. Utpressningsgruppen, aktiv sedan 2023 och antagen operera från Ryssland eller Östeuropa, publicerade sitt påstående på en läcksida den 28 augusti 2026. Samma grupp räknar redan British Library och chilenska armén bland tidigare offer, så det handlar inte om en nybörjaraktör som testar taktik mot ett stort statligt mål.

Fillistan omfattar kontrakt, e-post, telefonnummer, lösenord, sekretessbelagt material samt löne- och förseelseakter som vardera berör över 5 000 personalakter. Rhysida hävdar också att de har SQL-databasdumpar som täcker perioden 2020 till 2026, samt 3 226 undertecknade sekretessavtal. Personuppgifter om uppskattningsvis 12 076 personer ska också ingå, en siffra som oavsett resten av datan kommer att styra anmälningsskyldigheten vid dataintrång.

Detaljen om vattenförsörjningen förändrar riskbilden

Gömda i den fillistan finns sårbarhetsbedömningar av Berlins vattenförsörjning, och just den kategorin väger tyngre än terabyte-siffran. Personalakter och löneuppgifter är det vanliga innehållet i ett kommunalt dataintrång; en dokumenterad karta över svaga punkter i en huvudstads vatteninfrastruktur är det inte. Den som nu innehar den bedömningen har ett försprång när det gäller att identifiera var en efterföljande attack mot fysisk infrastruktur skulle göra störst skada, oavsett om angriparen är Rhysida självt, en köpare vid den hotade auktionen, eller en obesläktad aktör som aldrig besöker läcksidan.

Den distinktionen går förlorad när ett dataintrång bara sammanfattas efter sin storlek. Ett typiskt utpressningsavslöjande medför pinsamhet, anmälningskostnader och eventuellt bedrägeri senare. Ett avslöjande som innehåller sårbarhetsdata om infrastruktur ger en mållista. Medier som TheHackerNews, som rapporterade om läckan, behandlade vattendetaljen som en rad bland många; för den som ansvarar för kritisk infrastruktur borde det vara rubriken.

Att vägra betala löser ett problem, inte det andra

Berlins borgmästare Kai Wegner och inrikessenator Iris Spranger utfärdade ett gemensamt uttalande om att delstaten inte kommer att böja sig för utpressning, en hållning som är försvarbar i sig. Rhysida krävde 30 bitcoin, då värt omkring 2 miljoner euro, med en frist på ungefär sju dagar innan data skulle auktioneras ut. Att betala en lösensumma finansierar nästa attack och ger ingen bindande garanti för att stulna kopior raderas i stället för att säljas vidare i tysthet.

Det som avslaget inte gör är att få tillbaka datan. När en uppsättning filer väl har exfiltrerats och publicerats på en läcksida avgör betalning eller ej bara om Rhysida publicerar hela arkivet eller fortsätter utpressningen privat; de redan gjorda kopiorna ligger under alla omständigheter utanför Berlins kontroll. Myndigheterna har sagt att system och data för valet den 20 september är opåverkade, vilket besvarar den mest brådskande frågan men inget säger om den åtkomst angriparna hade till förvaltningsnätverket innan intrånget upptäcktes.

Vad NIS2 verkligen kräver härifrån

För operatörer inom EU:s NIS2-regelverk är en linje om att inte betala ett policyval, inte ett svar på efterlevnadskrav. NIS2 ålägger väsentliga och viktiga enheter riskhantering, tidsfrister för incidentrapportering och säkerhet i leveranskedjan, och ett kommunalt vattenbolag hamnar precis inom de kategorier direktivet är tänkt att skydda, den typ av standard som brittiska National Cyber Security Centre driver operatörer mot, även utanför EU:s regelverk. Frågan NIS2 ställer är inte om Berlin betalade lösensumman, utan om de sårbarhetsdata Rhysida nu innehar överhuvudtaget borde ha varit åtkomliga från samma nätverk som löneuppgifter och kontraktsarkiv.

Kategorierna Rhysida hävdar sig inneha illustrerar omfattningen av exponeringen i en enda incident:

Segmentering mellan förvaltningsdata och data om driftteknik eller kritisk infrastrukturs sårbarhetsbedömningar är precis den typ av kontroll NIS2 förväntar sig se dokumenterad, testad och rapporterad, inte antagen. En organisation som kan visa att den segmenterat den datan, även om segmenteringen misslyckades, står annorlunda jämfört med en som aldrig separerade den.

Varför vi gör detta

Vi gör detta för alla som försöker hänga med i vad tekniken gör med våra liv. Människorna som bygger den, och människorna som den händer. Servola Journal finns så att det vi lär oss tillhör dem alla.

Ingen betalar oss för det här. Ingen reklam, ingen betalvägg, gratis för alla. Vi tror helt enkelt att förståelsen av vad som händer oss alla inte borde bero på vem som har råd att betala för den.

Om det här gav dig något idag, säg till oss att fortsätta. Följ oss, lämna en gilla-markering, eller skriv en positiv kommentar. Vi läser var och en, och de är det som håller oss igång.

Läs vidare: Beacons dataintrång faller utanför alla skyddsnät  |  En AI körde hela den här ransomware-attacken själv