Berlino sotto estorsione: sottratti dati dalla rete statale, il governo rifiuta il riscatto

Dati rubati a due ministeri del Land

Il governo del Land di Berlino ha confermato che un attacco informatico contro la propria rete amministrativa ha provocato il furto di dati. Gli autori hanno anche presentato una richiesta di estorsione, che la città non intende soddisfare.

La posizione è stata espressa venerdì dal sindaco governatore Kai Wegner: Berlino non pagherà il riscatto. Le autorità stanno ancora cercando di stabilire quali informazioni siano state effettivamente sottratte e quali soggetti possano subirne le conseguenze.

L’incidente ha coinvolto due strutture governative:

• il ministero competente per sviluppo urbano, edilizia e abitazioni;
• il ministero responsabile di mobilità, trasporti, protezione del clima e ambiente.

I due ministeri condividono parte dell’infrastruttura informatica e amministrano autonomamente la propria sezione della rete statale. Il provider pubblico ITDZ Berlin, invece, non risulta compromesso.

Secondo la ricostruzione disponibile, l’acquisizione dei dati sarebbe avvenuta tra il 7 e il 12 agosto. L’intrusione è stata individuata a metà agosto e il 14 agosto Berlino ha separato i sistemi interessati dal resto della rete statale.

Questa segmentazione ha limitato la possibilità che l’attacco si propagasse ulteriormente, ma ha prodotto conseguenze operative immediate.

Rhysida rivendica 5,79 terabyte, ma i numeri non sono verificati

Nello stesso periodo, il gruppo ransomware Rhysida ha inserito Berlino nel proprio sito di pubblicazione sul dark web. La rivendicazione, tuttavia, non equivale a un’attribuzione ufficiale.

Le autorità berlinesi non hanno confermato che Rhysida sia l’autore dell’intrusione. Non hanno neppure verificato la quantità e la natura dei file pubblicizzati dal gruppo.

Rhysida sostiene di aver sottratto 5,79 terabyte di informazioni governative. Nell’annuncio compaiono riferimenti a:

• 46.500 contratti;
• messaggi di posta elettronica;
• numeri telefonici;
• password;
• documenti o informazioni classificate.

Il materiale è stato offerto all’asta con una base di 30 bitcoin, indicata dagli estorsori come equivalente a circa 2,3 milioni di dollari. L’annuncio mostrava inoltre un conto alla rovescia di circa sette giorni.

Questi dettagli devono essere trattati con cautela. I gruppi ransomware hanno un interesse diretto ad amplificare quantità, sensibilità e valore dei dati rubati, così da aumentare la pressione sulla vittima e attirare eventuali compratori.

Il punto accertato è più circoscritto: Berlino riconosce che vi è stata un’esfiltrazione e che è arrivata una richiesta di denaro. Rimangono da verificare il volume del furto, la presenza di informazioni classificate e l’effettiva esposizione delle password citate da Rhysida.

Non è stato possibile escludere il coinvolgimento di dati personali o di altre informazioni non pubbliche.

L’isolamento ha fermato i servizi IT ordinari

Dopo la scoperta dell’intrusione, i sistemi dei due ministeri sono stati scollegati dalla rete statale più ampia. Gli uffici hanno continuato a lavorare, ma senza poter utilizzare normalmente servizi essenziali come posta elettronica e accesso a Internet.

Una parte del personale ha dovuto ricorrere a telefono, SMS e fax. La misura mostra quanto le conseguenze di un incidente possano dipendere anche dalle attività di contenimento, non soltanto dall’eventuale cifratura dei computer.

Non è noto, infatti, se in questo caso Rhysida abbia cifrato sistemi o file. Il gruppo adotta normalmente un modello di doppia estorsione, nel quale il furto delle informazioni viene affiancato al blocco degli ambienti informatici. Per Berlino è confermata l’esfiltrazione, ma non sono stati divulgati elementi sufficienti per stabilire se sia avvenuta anche una cifratura.

Le ripercussioni hanno superato i confini dei due ministeri. Alcuni uffici distrettuali non hanno potuto elaborare temporaneamente le richieste relative ai sussidi abitativi e alle prestazioni per istruzione e partecipazione. Queste procedure dipendono da sistemi amministrati dal ministero dello sviluppo urbano.

Il disservizio evidenzia una dipendenza critica: anche quando un ente periferico non viene colpito direttamente, può perdere funzioni essenziali se il fornitore pubblico o il ministero che gestisce le applicazioni centrali viene isolato.

Il rischio per cittadini, dipendenti e controparti contrattuali

La possibile sottrazione di email, contatti, contratti e credenziali apre scenari differenti. La gravità dipenderà dai contenuti che le analisi forensi riusciranno a confermare.

Se gli archivi comprendessero password ancora valide, gli aggressori potrebbero tentare accessi successivi ad altri servizi. Le caselle di posta e i numeri telefonici potrebbero invece essere utilizzati per campagne di phishing mirate, nelle quali il messaggio riproduce nomi, pratiche e rapporti amministrativi reali.

I 46.500 contratti rivendicati potrebbero contenere dati relativi a fornitori, consulenti, progetti edilizi o rapporti economici. La loro presenza nel materiale sottratto non è stata però validata dalle autorità.

Anche l’espressione “informazioni classificate” proviene dalla comunicazione degli estorsori. Al momento non è possibile stabilire se si tratti davvero di documenti sottoposti a classificazione, di file interni oppure di una descrizione costruita per aumentare il valore dell’asta.

Berlino aveva inizialmente affermato di non avere indicazioni circa una compromissione di informazioni sensibili. Gli accertamenti successivi hanno confermato il furto di dati, rendendo necessaria una valutazione più approfondita.

Non sono stati resi pubblici indicatori tecnici di compromissione, come indirizzi IP, domini, hash di file o nomi degli strumenti impiegati. Non sono note neppure la modalità di accesso iniziale e l’eventuale vulnerabilità sfruttata.

Per dipendenti, fornitori e cittadini non è quindi disponibile una lista di indicatori da controllare autonomamente. Resta prudente prestare particolare attenzione a email, telefonate o SMS che citino pratiche amministrative autentiche e chiedano credenziali, pagamenti o apertura di allegati.

I sistemi elettorali risultano separati e protetti

L’attacco arriva a meno di un mese dalle elezioni per la Camera dei rappresentanti di Berlino, previste il 20 settembre. La vicinanza ha alimentato interrogativi sulla sicurezza dell’infrastruttura elettorale.

La senatrice all’Interno Iris Spranger ha dichiarato venerdì che tali sistemi sono protetti contro un attacco analogo. Sulla base delle informazioni disponibili, non risultano dati elettorali esfiltrati.

I responsabili della sicurezza considerano sicuro l’ambiente utilizzato per le elezioni. Non sono emersi elementi che colleghino la compromissione dei due ministeri a un tentativo di alterare il voto o di accedere ai relativi sistemi.

La distinzione è essenziale: un attacco contro enti governativi alla vigilia di un appuntamento elettorale può generare allarme e disinformazione, ma non prova da solo un’interferenza sulle procedure di voto.

Indagini forensi in corso, nessuna attribuzione definitiva

Rhysida è attivo almeno da maggio 2023 e ha preso di mira amministrazioni pubbliche, ospedali, scuole, imprese manifatturiere e aziende tecnologiche in più Paesi. Il suo modello combina generalmente sottrazione di file, cifratura e richieste di pagamento in criptovaluta.

I ricercatori ritengono che gli operatori possano essere russofoni o agire nell’area russa più ampia. Non esistono però certezze pubbliche sulla loro identità, posizione o struttura organizzativa.

Nel caso berlinese, la rivendicazione rimane quindi una dichiarazione del gruppo. L’attribuzione richiederà riscontri tecnici provenienti dai sistemi compromessi, dalla cronologia degli accessi e dagli strumenti eventualmente lasciati dagli aggressori.

Le misure confermate comprendono l’isolamento degli ambienti colpiti, le verifiche forensi e la protezione separata dell’infrastruttura elettorale. Berlino ha inoltre escluso il pagamento.

Il nodo ora è capire che cosa sia uscito davvero dalla rete. Solo dopo l’inventario dei file sottratti sarà possibile notificare gli eventuali interessati, revocare credenziali esposte e valutare il rischio derivante dalla possibile pubblicazione dei dati.