Rhysida rivendica 5,79 terabyte di dati dal governo di Berlino: rifiutato il riscatto, indagini in corso

Come è emerso l’attacco alla rete amministrativa

Il governo dello stato di Berlino sta gestendo un caso di estorsione informatica dopo un attacco alla rete amministrativa della città-stato. La compromissione è stata comunicata pubblicamente il 17 agosto, quando le autorità hanno isolato dalla rete il Dipartimento del Senato per la Mobilità, i Trasporti, la Protezione del Clima e l’Ambiente e un secondo dipartimento. Le indagini forensi hanno poi collocato l’esfiltrazione effettiva dei dati tra il 7 e il 12 agosto. Il dipartimento colpito aveva segnalato internamente un primo flusso anomalo già il 7 agosto, dieci giorni prima dell’annuncio ufficiale. Tutti i dipartimenti del Senato sono stati ricollegati alla rete il 23 agosto, ma le verifiche forensi proseguono.

Il gruppo ransomware Rhysida ha rivendicato l’attacco sul proprio sito leak il 28 agosto con un inserimento intitolato "Berlin, Germany". Il gruppo dichiara di aver sottratto 5,79 terabyte di dati in circa 1,44 milioni di file, incluse informazioni personali di 12.076 individui. Le autorità di Berlino hanno già rifiutato la richiesta di riscatto. L’emittente RBB aveva riferito per prima della richiesta estorsiva.

Cosa contiene la rivendicazione: dai fascicoli del personale alle credenziali in chiaro

Le cifre e i contenuti indicati da Rhysida non sono stati verificati in modo indipendente. Il gruppo afferma di avere tra le mani dati personali di 12.076 persone: 16.389 indirizzi email, 11.963 numeri di telefono e 148 IBAN. Più di 5.000 fascicoli del personale e altrettanti fascicoli per infrazioni amministrative completerebbero il bottino, insieme a dati retributivi e informazioni sulla leadership.

La rivendicazione cita inoltre password in chiaro e credenziali per i sistemi GebäudAtlas, database ePayment PAYONE e account Z_ADMIN. Rhysida sostiene di aver sottratto materiale governativo e legale: procedimenti disciplinari, cause giudiziarie, atti di vigilanza, accordi di non divulgazione e protocolli di commissioni del Bundesrat. Compaiono anche dati relativi alla gestione di materiale classificato e documenti che conterrebbero segreti di Stato, analisi di vulnerabilità della rete idrica di Berlino, passaporti e carte d’identità da fascicoli del personale, contratti, documenti finanziari, dati sanitari, archivi di password e archivi SQL/PST.

Secondo Rhysida il materiale potrebbe configurare violazioni del GDPR, delle norme tedesche sulle informazioni classificate, del diritto penale e dei requisiti KRITIS/BSIG per le infrastrutture critiche.

Chi è Rhysida e come entra nelle reti

Servizi di tracciamento citati da Reuters attribuiscono a Rhysida circa 280 vittime dal suo esordio nel 2023. Nove di queste si trovano in Germania; tra gli obiettivi di rilievo figurano la British Library e l’esercito cileno. Circa la metà delle vittime è negli Stati Uniti, seguite da Regno Unito, Canada e Italia: una distribuzione che suggerisce una selezione basata sull’opportunità più che sulla geografia.

Un avviso congiunto CISA-FBI-MS-ISAC pubblicato a novembre 2023 identifica i vettori tipici di accesso del gruppo: credenziali VPN compromesse in organizzazioni prive di autenticazione a più fattori, sfruttamento della vulnerabilità Zerologon corretta da Microsoft nel 2020 e phishing tradizionale. Non è stato reso noto quale di questi vettori sia stato usato nell’attacco a Berlino. Le indagini forensi sono ancora in corso e i sistemi ricollegati restano sotto verifica.

Le conseguenze per le persone e il rischio elettorale

Al momento della pubblicazione, né l’ufficio per la protezione dei dati di Berlino né la Cancelleria del Senato hanno fornito indicazioni specifiche alle circa 12.000 persone i cui dati Rhysida afferma di aver rubato. L’autorità statale per la protezione dei dati e l’agenzia federale tedesca per la sicurezza informatica BSI stanno seguendo l’indagine. Non è ancora stabilito esattamente cosa sia stato oggetto di accesso e sottrazione: l’assenza di comunicazioni ufficiali non equivale a sicurezza.

La vicinanza elettorale rende il caso particolarmente delicato. Il 20 settembre Berlino eleggerà il parlamento statale. La senatrice agli Interni Iris Spranger ha dichiarato che l’elezione resta sicura e che finora gli attaccanti non avrebbero sottratto dati legati alla tornata elettorale. I funzionari della sicurezza concordano con questa valutazione.

In una dichiarazione congiunta diffusa prima della rivendicazione sul sito leak, il sindaco Kai Wegner e la senatrice Spranger hanno affermato che lo stato di Berlino non si piegherà all’estorsione. La posizione è in linea con l’avvertimento delle agenzie federali statunitensi secondo cui pagare non garantisce il recupero dei dati e può incoraggiare ulteriori attacchi.

Cosa resta da chiarire e cosa possono fare le organizzazioni

Il tempo trascorso tra la prima rilevazione interna del 7 agosto e l’isolamento della rete comunicato il 17 agosto sarà probabilmente esaminato con attenzione. Non sono note le versioni esatte dei sistemi coinvolti, né se l’accesso iniziale sia avvenuto tramite VPN, Zerologon o phishing.

Per le organizzazioni che usano infrastrutture simili, le contromisure coerenti con i vettori noti di Rhysida restano tre: adottare l’autenticazione a più fattori per VPN e sistemi esposti, applicare la patch Microsoft per Zerologon del 2020 e rafforzare le difese anti-phishing. Le autorità di Berlino hanno già rifiutato il pagamento del riscatto. Le indagini forensi sono in corso e i sistemi ricollegati restano sotto verifica.