El grupo Rhysida asegura haber obtenido 5,79 terabytes de información de organismos públicos y amenaza con subastarla después de que las autoridades rechazaran pagar un rescate.

La administración de Berlín se enfrenta a un importante incidente de ransomware después de que el grupo Rhysida reivindicara el robo de 5,79 terabytes de información perteneciente a distintos organismos de la ciudad. Los atacantes aseguran que el material incluye 46.500 contratos, correos electrónicos, números de teléfono, contraseñas y documentación confidencial.

Rhysida ha anunciado que pretende subastar los datos con un precio inicial de 30 bitcoin y ha publicado una cuenta atrás de varios días. Las afirmaciones proceden del propio grupo y las autoridades todavía no han confirmado de forma independiente ni la cantidad exacta de información extraída ni el contenido completo de los archivos afectados.

El alcalde de Berlín, Kai Wegner, y la responsable de Interior, Digitalización y Deporte, Iris Spranger, han comunicado que la ciudad no cederá ante la extorsión. Según la información recogida por Reuters, la administración recibió una exigencia de rescate cuya cuantía no se ha hecho pública.

La infraestructura electoral no habría resultado afectada

El ataque se produce pocas semanas antes de las elecciones de la ciudad-estado, previstas para el 20 de septiembre. Las autoridades han señalado que la infraestructura electoral permanece protegida y que, de acuerdo con los análisis realizados hasta el momento, no se ha comprometido información relacionada con los comicios.

La investigación continúa abierta y los responsables municipales evitan ofrecer detalles que puedan interferir con los trabajos técnicos o policiales. Los equipos de respuesta están determinando qué sistemas fueron alcanzados, durante cuánto tiempo tuvieron acceso los atacantes y si las credenciales expuestas pueden facilitar nuevas intrusiones.

Cuando se detecta un incidente de estas características, una de las primeras medidas consiste en aislar los equipos afectados para impedir la propagación. Después comienza un proceso de análisis forense, renovación de contraseñas, restauración desde copias de seguridad y vigilancia de posibles movimientos posteriores dentro de la red.

Rhysida acumula ataques contra instituciones públicas

Rhysida apareció públicamente en junio de 2023 y desde entonces se ha atribuido cerca de 280 ataques. Aproximadamente la mitad de las organizaciones afectadas se encuentran en Estados Unidos, aunque el grupo también ha señalado objetivos en Reino Unido, Canadá, Italia y otros países.

Entre sus víctimas conocidas figura la Biblioteca Británica, cuyo ataque de 2023 provocó una interrupción prolongada de servicios y obligó a desplegar una costosa recuperación. El grupo también ha reivindicado operaciones contra el Ejército de Chile, centros educativos, organizaciones sanitarias, administraciones y empresas privadas.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos, el FBI y el centro MS-ISAC publicaron una alerta conjunta sobre Rhysida en 2023. El documento recoge sus técnicas habituales y recomienda reforzar la autenticación multifactor, segmentar las redes, actualizar los sistemas y mantener copias de seguridad fuera de línea.

Pagar no garantiza la recuperación de los datos

La negativa de Berlín refleja la posición adoptada por numerosas administraciones frente al ransomware. El pago puede financiar nuevas campañas delictivas y no ofrece garantías de que la información sea eliminada, de que las claves de descifrado funcionen o de que los atacantes no vuelvan a exigir dinero.

Sin embargo, rechazar el rescate tampoco elimina las consecuencias. Si Rhysida cumple su amenaza, documentos internos y datos personales podrían quedar expuestos, facilitando campañas de fraude, suplantación de identidad o ataques dirigidos contra empleados y ciudadanos.

El incidente demuestra que las redes públicas constituyen objetivos especialmente atractivos porque concentran grandes cantidades de información y prestan servicios que no pueden permanecer interrumpidos. La recuperación de Berlín dependerá tanto de la contención técnica como de la capacidad para informar a las personas afectadas y prevenir el uso posterior de los datos.