Rhysida ataca condado que ainda notificava vítimas do ataque anterior

O condado de Anne Arundel confirmou, via porta-voz à Recorded Future News e por comunicado oficial no site aacounty.org, que um ator não autorizado acessou sistemas e copiou arquivos detectados em 28 de agosto de

2026. O texto oficial admite o fato da exfiltração mas não especifica volume, tipos de dado, vetor de entrada ou identidade do ator — uma contenção de informação que é padrão em comunicados governamentais sob investigação ativa, mas que deixa a lacuna central sem resposta pública.

A reivindicação do Rhysida, publicada em 9 de outubro via site .onion e registrada pelo Ransomware.live, alega 814.500 arquivos totalizando 2,6 TB, incluindo faxes médicos (2022–2026), 47.602 arquivos de assistência médica com SSNs, carteiras de motorista e dados bancários, registros de clínica de metadona protegidos pelo 42 CFR Part 2, dossiês de antecedentes com SSNs nos nomes de arquivo, folha de pagamento, contratos, banco de dados disciplinar e arquivos de inteligência policial sobre gangues. Esses detalhes são alegações do próprio ator extorsionário — fonte classificada como F (não avaliada) no modelo Admiralty — e não foram confirmados independentemente. The Baltimore Banner tentou verificar e não conseguiu; o condado não respondeu às perguntas específicas sobre a reivindicação.

O elemento analítico mais relevante aqui não é o volume alegado, mas o padrão operacional: o incidente de agosto não interrompeu serviços essenciais, o que é consistente com uma operação de exfiltração pura sem implantação de payload de criptografia. O Rhysida é conhecido por operar nesse modo — infiltra, exfiltra e então extorque via leilão de dados, sem necessariamente criptografar — conforme documentado pela CISA em advisory conjunto com FBI e MS-ISAC. A ausência de disrupção operacional não descarta a gravidade do vazamento; ela apenas indica que o ator escolheu não acionar o componente destrutivo.

O contexto de reincidência é central. Anne Arundel sofreu um ataque em fevereiro de 2025 (atribuído a grupo distinto), cujo processo forense ainda estava em curso quando o incidente de agosto foi detectado. O CISO Donnie Green descreveu ao conselho do condado que, no incidente de 2025, atacantes comprometeram conta válida, tentaram executar ransomware (bloqueado pelo EDR) e deletaram dados em alguns drives — o que levou a investigação forense a revisar mais de 1 milhão de pontos de dados para determinar notificações. Esse quadro indica que o ambiente de IT do condado permaneceu sob pressão constante, com remediação incompleta entre os dois eventos.

Um ponto de contradição que merece atenção: o comunicado oficial afirma que o incidente de agosto 'não tem relação com nenhum evento cibernético anterior'. Tecnicamente pode ser verdade — atores diferentes, vetores diferentes — mas a afirmação minimiza o padrão sistêmico de vulnerabilidade que torna o condado um alvo recorrente. O County Executive Steuart Pittman admitiu em 2025 que os sistemas vinham 'ficando para trás por vários anos'. A Maryland Legislature não aprovou legislação de cibersegurança que seria aplicável ao caso. Esse contexto não consta do comunicado oficial.

A demanda de US$ 2 milhões em ransom é consistente com o perfil histórico do Rhysida — o grupo cobrou valores comparáveis de outras vítimas governamentais, incluindo €2 milhões do governo de Berlim. O condado não confirmou se recebeu demanda de resgate, se está negociando ou se pagou, citando investigação em curso — a mesma posição adotada para o incidente de 2025, em que custo e pagamento também foram recusados como informação pública.

O condado de Anne Arundel tem mais de 600.000 residentes e sedia dezenas de agências federais, incluindo Departamento de Defesa, IRS, EPA e Guarda Costeira dos EUA. Se os dados alegados pelo Rhysida forem confirmados, o impacto potencial inclui: exposição de PHI sob HIPAA (faxes médicos, diagnósticos), registros de pacientes de clínica de metadona protegidos pelo 42 CFR Part 2 (o regime de confidencialidade mais restritivo dos EUA para registros de saúde), SSNs e dados bancários de beneficiários de assistência médica, dossiês de antecedentes com SSNs, e arquivos de inteligência policial sobre gangues — este último com risco de segurança pública direto se for publicado. Até o momento, o condado não confirmou nenhum tipo de dado específico para o incidente de agosto, e não há relato confirmado de uso dos arquivos para fraude ou roubo de identidade.