Rhysida vaza 5,8 TB de Berlim — credenciais em segundo lote
O grupo Rhysida exfiltrou dados do Landesnetz Berlin entre 7 e 12 de agosto de 2026, publicou cerca de 5,26–5,79 TB no dia 4 de setembro após Berlim recusar o pagamento de 30 BTC, e em 6–7 de setembro divulgou um segundo lote contendo credenciais internas — fato confirmado pela própria Chancelaria do Senado. O volume e o conteúdo são alegações do ator ainda não verificadas de forma independente; o incidente em si é confirmado pelo governo estadual, pelo BSI e pela mídia de apuração.
Juízos analíticos
Cada avaliação vem com seu nível de confiança declarado, conforme a prática de inteligência (ICD 203 / FIRST). Confiança alta não é certeza; confiança baixa não é chute — é o peso que a evidência disponível sustenta.
O incidente é real e confirmado pela vítima: o governo de Berlim admitiu publicamente a extorsão, a exfiltração de dados e a posterior publicação no dark web, incluindo um segundo lote de credenciais divulgado em 6–7 de setembro.
O volume de 5,79 TB alegado pela Rhysida não foi confirmado pelo governo de Berlim; O Tagesspiegel contou 5,26 TB no pacote publicado — a discrepância sugere que os números do ator são levemente inflados ou incluem dados retidos, mas não configura bluff.
A janela de sete dias entre a detecção dos primeiros sinais de exfiltração (7 de agosto) e o isolamento das Senatsverwaltungen (14 de agosto) é o fator operacional central que permitiu o volume da extração — e representa uma falha de contenção grave, não apenas um problema de prevenção.
A Rhysida opera como RaaS; a atribuição ao grupo como 'operador' não equivale a atribuição a um Estado-nação. Pesquisadores da Huntress associaram a infraestrutura a atores do espaço russo/CEI, mas a evidência formal é inconclusiva e o BSI classifica o ataque como motivação financeira.
A presença de documentos rotulados como CBRN (químico, biológico, radiológico e nuclear) e planos de comunicação de defesa no conjunto vazado pode ter implicações de segurança nacional independentes do motivo original do ataque — a avaliação está em curso pelas autoridades alemãs.
A publicação do segundo lote de credenciais em 6–7 de setembro cria risco imediato de movimento lateral em sistemas ainda conectados ao Landesnetz, mesmo após as medidas de endurecimento adotadas pelas Senatsverwaltungen afetadas.
Análise
O incidente do Landesnetz Berlin é o maior ataque de ransomware confirmado contra um governo estadual alemão até a data deste relatório. Dois eixos analíticos merecem atenção separada: a natureza do ataque em si e a gestão da crise pelo governo.
Sobre o ataque: A Rhysida opera como Ransomware-as-a-Service desde maio de 2023, com afiliados que compartilham receita com os operadores. Segundo o advisory CISA/FBI/MS-ISAC (AA23-319A, atualizado em abril de 2025), o vetor primário de acesso inicial do grupo é credencial válida contra serviços VPN externos sem MFA, combinado com phishing e exploração de CVE-2020-1472 (Zerologon) onde não corrigido. O vetor específico usado em Berlim não foi divulgado pelas autoridades alemãs até o fechamento deste relatório — isso é uma lacuna crítica.
Sobre os números: Rhysida alegou 5,79 TB e ~1,44 milhão de arquivos. O Tagesspiegel, ao analisar o pacote publicado, contabilizou 5,26 TB — uma diferença de ~530 GB (cerca de 9%). Isso não configura 'bluff' nem 'inflated' no sentido grave: a discrepância é pequena e pode refletir compressão, arquivos não publicados ou divergência de metodologia de contagem. Netz-trends.de já havia alertado que quase todos os números em circulação derivam de uma única fonte — os próprios atacantes — e que o governo de Berlim não confirmou nenhuma cifra de volume. Isso deve ser declarado em toda cobertura: os registros de 12.076 indivíduos identificados nominalmente, os ~5.000 arquivos de pessoal e os ~6.000 arquivos de credenciais são alegações do ator, ainda sem verificação independente de conteúdo.
Sobre o segundo lote: O aspecto analiticamente mais relevante deste relatório — e o que constitui o ângulo editorial do Vexday — é a publicação de um segundo pacote em 6–7 de setembro, especificamente contendo credenciais de acesso (Zugangsdaten). Isso é confirmado pela Chancelaria do Senado em comunicado oficial. Credenciais publicadas em claro criam superfície de ataque imediata: acesso a sistemas que ainda não foram totalmente auditados ou isolados, possibilidade de movimento lateral para além das duas Senatsverwaltungen afetadas, e risco de ataques de reutilização de senha contra serviços externos onde os mesmos usuários se autenticam.
Sobre o contexto político e de segurança nacional: O timing — menos de duas semanas antes das eleições para o Abgeordnetenhaus de 20 de setembro — foi notado pelo BSI, que alertou para o uso de documentos autênticos em operações de hack-and-leak para influência política. As autoridades de segurança eleitoral de Berlim declararam que os sistemas eleitorais não foram afetados. O vazamento de documentos com marcação CBRN e planos de comunicação de defesa federal em cenário de crise é o dado de maior impacto potencial de segurança nacional — e também o mais difícil de avaliar sem acesso forense, pois a categorização deriva de relatórios de mídia, não de análise oficial publicada.
Sobre a governança e os 'haarsträubende Versäumnisse' (falhas escandalosas, na expressão usada pela imprensa alemã): A detecção ocorreu em 7 de agosto, mas o isolamento só veio em 14 de agosto — sete dias depois. Nesse intervalo, a exfiltração continuou. Relatórios indicam que senhas foram armazenadas em texto claro em documentos Office, e que não havia MFA nos acessos remotos das Senatsverwaltungen afetadas. A Berliner Datenschutzbeauftragte (BlnBDI) está avaliando a obrigação de notificação sob o Art. 33 do RGPD; nenhuma declaração pública da comissária foi localizada até a publicação deste relatório — o que é em si uma informação, dado o prazo de 72 horas exigido pela legislação.
Cronologia
- 07 ago 2026Início da exfiltração detectada a posteriori nos sistemas da Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt, conforme declarado pelo Secretário de Estado para Assuntos Digitais, Florian Hauer.
- 12 ago 2026Encerramento da janela de exfiltração ativa, segundo as investigações forenses do próprio governo de Berlim.
- 14 ago 2026Duas Senatsverwaltungen (Desenvolvimento Urbano/Habitação e Mobilidade/Meio Ambiente) são desconectadas do Landesnetz — sete dias após a detecção do primeiro sinal de movimento de dados suspeito.
- 17 ago 2026Primeira divulgação pública oficial da Chancelaria do Senado sobre o incidente no Landesnetz.
- 23 ago 2026Prefeito Kai Wegner anuncia que todas as Senatsverwaltungen foram reconectadas ao Landesnetz e estão operacionais.
- 28 ago 2026Rhysida publica entrada da Berlim em seu site de vazamentos no dark web, alegando posse de 5,79 TB de dados e 1.440.000 arquivos, e lança leilão com demanda de 30 BTC (~2 milhões de euros) e prazo de uma semana.
- 01 set 2026Sessão de emergência do Senado no Rotes Rathaus; Prefeito Wegner declara publicamente 'Berlim está sendo extorquida' e confirma que a cidade não pagará. BSI e LKA Berlin são formalmente envolvidos.
- 04 set 2026Rhysida encerra o leilão às 15h35 e publica o conjunto de dados no dark web após expirar o prazo sem pagamento. O Tagesspiegel contabiliza 1.439.893 arquivos totalizando 5,26 TB no pacote efetivamente publicado.
- 06 set 2026Rhysida publica segundo lote de dados contendo especificamente credenciais internas do Landesnetz. A Chancelaria do Senado confirma em comunicado: 'o objeto da nova publicação inclui, entre outros, dados de acesso (Zugangsdaten)'. A Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen reforça medidas de proteção e antecipa restrições operacionais.
- 07 set 2026Governo de Berlim confirma que funcionários da administração de obras enfrentarão restrições de trabalho após a publicação das credenciais internas. The Record publica cobertura do segundo lote.
Dados envolvidos
Impacto
Duas Senatsverwaltungen ficaram inoperantes por semanas; mais de 50.000 domicílios não conseguiram solicitar o auxílio habitacional (Wohngeld) durante o período de isolamento. Com o segundo lote de credenciais publicado em 6–7 de setembro, funcionários da administração de obras enfrentam restrições de acesso a sistemas internos enquanto as credenciais são rotacionadas e auditadas. Dados pessoais de pelo menos 12.076 indivíduos identificados pelo próprio ator (número não confirmado pela vítima) estão expostos no dark web, incluindo potencialmente scans de documentos de identidade, dados de saúde, registros de infrações administrativas e IBANs. Documentos com potencial relevância para segurança nacional (planos CBRN, canais de comunicação de emergência da Bundesregierung) estão publicamente acessíveis — o alcance estratégico desse componente está sob avaliação de BKA, LKA Berlin, BSI e Staatsanwaltschaft.
Elos técnicos
Recomendações
- Rotacionar imediatamente todas as credenciais dos usuários das duas Senatsverwaltungen afetadas, priorizando contas com privilégios administrativos e acesso a sistemas de infraestrutura; não confiar em auditorias baseadas nos dados publicados pelo ator, pois o conjunto pode ser incompleto.
- Habilitar MFA obrigatório em todos os pontos de acesso remoto ao Landesnetz, incluindo VPNs e RDPs, antes de qualquer reconexão de sistemas isolados — o vetor típico da Rhysida é credencial válida sem segundo fator.
- Verificar se o CVE-2020-1472 (Zerologon) está corrigido em todos os controladores de domínio do Landesnetz; o advisory CISA AA23-319A lista esse CVE como vetor ativo da Rhysida.
- Auditar imediatamente o armazenamento de credenciais em documentos Office e planilhas nos sistemas das Senatsverwaltungen afetadas; a presença de senhas em texto claro em arquivos Word foi confirmada em screenshots do ator e é o ponto de maior risco residual.
- Implementar monitoramento de linha de base de comportamento para contas de serviço e contas de sistema de construção (building-management database) mencionadas pela Rhysida como fontes de credenciais expostas.
- Estabelecer processo formal de correlação entre publicações no dark web e inventário interno de credenciais, com alerta automatizado — a publicação do segundo lote não deveria ser descoberta pela mídia antes das autoridades endureceram as medidas.
Lacunas de inteligência
O que ainda não sabemos. Um relatório que não declara seus buracos está vendendo, não analisando.
O vetor exato de acesso inicial da Rhysida ao Landesnetz Berlin não foi divulgado — confirmação pública pelo BSI ou pela Staatsanwaltschaft resolveria esta lacuna.
O governo de Berlim não publicou nenhuma cifra própria sobre o volume de dados exfiltrados — uma declaração oficial do CISO ou do Secretário de Assuntos Digitais com estimativa forense é necessária.
A BlnBDI (Comissária de Proteção de Dados de Berlim) não emitiu nenhuma declaração pública verificável sobre o incidente até este relatório — confirmação de notificação formal nos termos do Art. 33 do RGPD é necessária.
O conteúdo exato dos documentos rotulados como CBRN não foi descrito por nenhuma fonte oficial — uma avaliação pública do BSI sobre o grau de sensibilidade desses documentos resolveria esta lacuna.
A identidade dos afiliados específicos da Rhysida que operaram o ataque é desconhecida — atribuição técnica por pesquisadores independentes com acesso a IOCs é necessária.
O segundo lote de credenciais publicado em 6–7 de setembro não teve sua origem confirmada como parte do mesmo ataque de agosto — declaração da Senatskanzlei ou do BSI correlacionando os dois eventos formalmente é necessária.
Fontes e avaliação
Notação Admiralty (padrão NATO, usado por CERT-EU e OpenCTI): a letra avalia a confiabilidade da FONTE (A completamente confiável a F não avaliada); o número avalia a credibilidade da INFORMAÇÃO (1 confirmada a 6 não julgável). As duas dimensões são avaliadas de forma independente — fonte boa não torna informação frágil confiável.