Berlim confirma exfiltração; Rhysida reivindica 5,79 TB

O incidente de Berlim é o primeiro caso documentado de uma capital federal europeia atingida por ransomware com exfiltração confirmada em

2026. O ataque incidiu sobre o Landesnetz BeLa — a rede estadual que interliga cerca de 600 órgãos públicos berlinenses — especificamente nas Senatsverwaltungen de Mobilidade/Clima e de Desenvolvimento Urbano/Habitação.

O fato mais relevante apurado não é o volume alegado por Rhysida, mas a janela de sete dias entre a primeira detecção interna (7 de agosto) e o isolamento das redes (14 de agosto). A Senatskanzlei confirmou ao The Hacker News que o próprio departamento afetado reportou internamente o primeiro sinal de saída de dados em 7 de agosto. Isso levanta a questão de governança mais séria do caso: por que a resposta demorou uma semana depois do primeiro alerta?

Quanto ao volume, as versões divergem de forma relevante. Rhysida alega 5,79 TB e 1,44 milhão de arquivos. A fonte ad-hoc-news.de (confiabilidade D) menciona estimativas de 100 mil a 200 mil registros — número que não encontra respaldo em nenhuma declaração oficial. Berlim não publicou nenhum número próprio. O entry no site de Rhysida não exibiu valor de resgate (a cifra de 30 BTC foi reportada por Der Spiegel e fontes alemãs, não apareceu diretamente na postagem pública do grupo, segundo The Hacker News). O maior conjunto de arquivos alegado pelo próprio grupo são 124.823 arquivos de mapas e geodados — categoria de menor sensibilidade. Isso não desqualifica as outras alegações, mas merece atenção: grupos de ransomware frequentemente inflam o peso aparente de um acervo com arquivos de baixo valor.

A narrativa pública de Berlim passou por uma correção visível. Na primeira semana após a descoberta, comunicados oficiais deram a entender que apenas geodados de domínio público haviam sido afetados. Em 26 de agosto — dois dias antes da publicação de Rhysida — a Senatskanzlei corrigiu essa posição, admitindo que dados pessoais e não públicos não podiam ser descartados. Essa reviravolta, antes da reivindicação de Rhysida se tornar pública, é um dado relevante: sugere que a investigação interna já havia identificado exfiltração mais ampla, mas a comunicação pública estava sendo gerida de forma restritiva.

O timing político é inescapável: as eleições para a Câmara dos Representantes de Berlim estão marcadas para 20 de setembro, menos de um mês após o incidente. O Senado foi taxativo ao declarar que a infraestrutura eleitoral está segura e que nenhum dado eleitoral foi comprometido — afirmação corroborada por fontes de segurança citadas pela Security Affairs, mas que ainda depende de validação forense completa.

Rhysida opera como RaaS (Ransomware-as-a-Service) desde maio de 2023, com sobreposição documentada com o grupo Vice Society (rastreado pela Microsoft como Storm-0832), conforme alertas conjuntos de FBI, CISA e MS-ISAC. O grupo usa o modelo de dupla extorsão, exfiltra dados antes de criptografar e ameaça publicar o acervo em leilão na rede Tor. O vetor de acesso preferencial documentado inclui credenciais comprometidas via VPN sem MFA e phishing — mas o vetor específico neste caso não foi confirmado oficialmente.

Dados pessoais de cidadãos e servidores públicos — incluindo endereços de email, telefones, IBANs, documentos de identidade e possivelmente fichas funcionais — podem estar em posse de um grupo criminoso ativo. A Senatskanzlei confirmou que dados pessoais e não públicos não podem ser excluídos do que foi exfiltrado, o que aciona obrigações de notificação sob o GDPR (Art. 33/34) e potencialmente o NIS2, dado o envolvimento de infraestrutura administrativa crítica. Duas Senatsverwaltungen foram temporariamente inoperantes após o isolamento de rede em 14 de agosto, com retorno declarado em 23 de agosto. A presença alegada de documentos relacionados à infraestrutura hídrica de Berlim (análise KRITIS) e de arquivos com senhas em texto claro representa o maior risco residual: se autênticos, abrem superfície para ataques subsequentes em outros sistemas.