Berlín bajo extorsión: datos sustraídos de la red estatal, el Gobierno rechaza pagar el rescate

Datos robados a dos ministerios del estado federado

El Gobierno del estado federado de Berlín ha confirmado que un ciberataque contra su red administrativa provocó el robo de datos. Los autores también presentaron una demanda de extorsión, que la ciudad no tiene intención de satisfacer.

El alcalde-gobernador Kai Wegner expresó esta posición el viernes: Berlín no pagará el rescate. Las autoridades aún intentan determinar qué información fue sustraída realmente y qué personas u organizaciones podrían verse afectadas.

El incidente afectó a dos organismos gubernamentales:

• el ministerio competente en desarrollo urbano, construcción y vivienda;
• el ministerio responsable de movilidad, transporte, protección climática y medio ambiente.

Ambos ministerios comparten parte de la infraestructura informática y administran de forma autónoma su sección de la red estatal. El proveedor público de servicios de TI ITDZ Berlin, en cambio, no parece haber sido comprometido.

Según la reconstrucción disponible, la extracción de datos habría tenido lugar entre el 7 y el 12 de agosto. La intrusión se detectó a mediados de agosto y, el 14 de agosto, Berlín aisló los sistemas afectados del resto de la red estatal.

Esta segmentación limitó la posibilidad de que el ataque siguiera propagándose, pero provocó consecuencias operativas inmediatas.

Rhysida reivindica 5,79 terabytes, pero las cifras no están verificadas

Durante el mismo periodo, el grupo de ransomware Rhysida incluyó a Berlín en su sitio de publicación de la dark web. Sin embargo, la reivindicación no equivale a una atribución oficial.

Las autoridades berlinesas no han confirmado que Rhysida sea responsable de la intrusión. Tampoco han verificado la cantidad ni la naturaleza de los archivos anunciados por el grupo.

Rhysida afirma haber sustraído 5,79 terabytes de información gubernamental. El anuncio menciona:

• 46.500 contratos;
• mensajes de correo electrónico;
• números de teléfono;
• contraseñas;
• documentos o información clasificada.

El material se ofreció en una subasta con un precio inicial de 30 bitcoines, que los extorsionadores cifraron en aproximadamente 2,3 millones de dólares. El anuncio también mostraba una cuenta atrás de unos siete días.

Estos detalles deben tratarse con cautela. Los grupos de ransomware tienen un interés directo en exagerar la cantidad, sensibilidad y valor de los datos robados para aumentar la presión sobre la víctima y atraer a posibles compradores.

El hecho confirmado es más concreto: Berlín reconoce que se produjo una exfiltración y que recibió una demanda de dinero. Aún deben verificarse el volumen del robo, la presencia de información clasificada y la exposición efectiva de las contraseñas mencionadas por Rhysida.

No ha sido posible descartar la implicación de datos personales u otra información no pública.

El aislamiento interrumpió los servicios de TI habituales

Tras descubrirse la intrusión, los sistemas de los dos ministerios se desconectaron de la red estatal más amplia. Las oficinas continuaron trabajando, pero sin poder utilizar con normalidad servicios esenciales como el correo electrónico y el acceso a Internet.

Parte del personal tuvo que recurrir al teléfono, los SMS y el fax. La medida demuestra hasta qué punto las consecuencias de un incidente también pueden depender de las tareas de contención, y no únicamente del posible cifrado de los equipos.

De hecho, no se sabe si Rhysida cifró sistemas o archivos en este caso. El grupo suele emplear un modelo de doble extorsión, en el que el robo de información se combina con el bloqueo de los entornos informáticos. En el caso de Berlín, la exfiltración está confirmada, pero no se han divulgado datos suficientes para determinar si también se produjo un cifrado.

Las repercusiones superaron los límites de los dos ministerios. Algunas oficinas de distrito no pudieron tramitar temporalmente las solicitudes relacionadas con ayudas a la vivienda y prestaciones de educación y participación. Estos procedimientos dependen de sistemas administrados por el ministerio de desarrollo urbano.

La interrupción pone de manifiesto una dependencia crítica: aunque una entidad periférica no se vea afectada directamente, puede perder funciones esenciales si el proveedor público o el ministerio que gestiona las aplicaciones centrales queda aislado.

El riesgo para ciudadanos, empleados y partes contratantes

La posible sustracción de correos electrónicos, contactos, contratos y credenciales abre distintos escenarios. La gravedad dependerá del contenido que los análisis forenses logren confirmar.

Si los archivos incluyeran contraseñas todavía válidas, los atacantes podrían intentar acceder posteriormente a otros servicios. Los buzones de correo y los números de teléfono podrían utilizarse para campañas de phishing dirigidas, en las que el mensaje reprodujera nombres, trámites y relaciones administrativas reales.

Los 46.500 contratos reivindicados podrían contener datos relativos a proveedores, consultores, proyectos de construcción o relaciones económicas. Sin embargo, las autoridades no han validado su presencia entre el material sustraído.

También la expresión “información clasificada” procede de la comunicación de los extorsionadores. Por el momento no es posible determinar si se trata realmente de documentos sujetos a clasificación, de archivos internos o de una descripción diseñada para aumentar el valor de la subasta.

Berlín había afirmado inicialmente que no tenía indicios de una vulneración de información sensible. Las comprobaciones posteriores confirmaron el robo de datos, lo que hizo necesaria una evaluación más exhaustiva.

No se han hecho públicos indicadores técnicos de compromiso, como direcciones IP, dominios, hashes de archivos o nombres de las herramientas utilizadas. Tampoco se conocen el método de acceso inicial ni la posible vulnerabilidad explotada.

Por tanto, empleados, proveedores y ciudadanos no disponen de una lista de indicadores que puedan comprobar por su cuenta. Sigue siendo recomendable prestar especial atención a correos electrónicos, llamadas o SMS que mencionen trámites administrativos auténticos y soliciten credenciales, pagos o la apertura de archivos adjuntos.

Los sistemas electorales están separados y protegidos

El ataque se produce menos de un mes antes de las elecciones a la Cámara de Representantes de Berlín, previstas para el 20 de septiembre. La proximidad de ambas fechas ha suscitado dudas sobre la seguridad de la infraestructura electoral.

La senadora de Interior, Iris Spranger, declaró el viernes que esos sistemas están protegidos frente a un ataque similar. Según la información disponible, no se han exfiltrado datos electorales.

Los responsables de seguridad consideran seguro el entorno utilizado para las elecciones. No han surgido indicios que relacionen el compromiso de los dos ministerios con un intento de alterar la votación o acceder a los sistemas correspondientes.

La distinción es esencial: un ataque contra organismos gubernamentales en vísperas de una cita electoral puede generar alarma y desinformación, pero por sí solo no demuestra una interferencia en los procedimientos de votación.

Investigación forense en curso, sin atribución definitiva

Rhysida está activo al menos desde mayo de 2023 y ha atacado administraciones públicas, hospitales, centros educativos, empresas manufactureras y compañías tecnológicas de varios países. Su modelo suele combinar la sustracción de archivos, el cifrado y las demandas de pago en criptomonedas.

Los investigadores consideran que los operadores podrían ser rusoparlantes o actuar desde la región rusa en sentido amplio. Sin embargo, no existen certezas públicas sobre su identidad, ubicación o estructura organizativa.

En el caso de Berlín, la reivindicación sigue siendo una declaración del grupo. La atribución requerirá evidencias técnicas procedentes de los sistemas comprometidos, de la cronología de los accesos y de las herramientas que los atacantes pudieran haber dejado.

Las medidas confirmadas incluyen el aislamiento de los entornos afectados, las comprobaciones forenses y la protección independiente de la infraestructura electoral. Berlín también ha descartado pagar el rescate.

La cuestión ahora es determinar qué salió realmente de la red. Solo después de elaborar un inventario de los archivos sustraídos será posible notificar a los posibles afectados, revocar las credenciales expuestas y evaluar el riesgo derivado de una posible publicación de los datos.