Se negaron a pagar – ahora los datos personales de 12 000 berlineses podrían difundirse en la dark web

Un ataque en el corazón de la capital alemana

El 14 de agosto, la administración municipal de Berlín se despertó ante un desastre digital. El Departamento del Senado para Movilidad, Transporte, Protección del Clima y Medio Ambiente había sufrido una intrusión – y como medida de protección inmediata, la red del Departamento del Senado para Planificación Urbana, Construcción y Vivienda también fue desconectada el mismo día. Para nada una mañana viernes normal.

Según SecurityWeek, el robo de datos real ocurrió entre el 7 y el 12 de agosto, es decir, durante toda una semana antes de que siquiera se descubriera la intrusión. Es un patrón que vemos una y otra vez en este tipo de ataques: los atacantes se mueven en silencio, recopilan datos y luego se van – a veces sin que la víctima se dé cuenta durante mucho tiempo.

El 28 de agosto, Berlín apareció en el sitio de fugas anónimo de Rhysida en la dark web, aunque fue brevemente. El grupo afirma haber obtenido 5,7 terabytes de datos – una cifra difícil de comprender. Para ponerlo en perspectiva: se trata de aproximadamente 5 700 películas de larga duración en calidad HD, o miles de millones de líneas de texto.

¿Qué contienen los datos robados?

Aquí es donde comienza lo verdaderamente preocupante. Rhysida afirma tener acceso a:

• Datos personales de más de 12 000 personas
• Más de 16 000 direcciones de correo electrónico
• Cerca de 12 000 números de teléfono
• Documentos de pasaporte e identidad
• Información de salarios y pagos
• Expedientes de personal y contraseñas
• Quejas, documentos legales y archivos confidenciales

Es una combinación de datos que resulta especialmente valiosa – no menos en los mercados negros donde el robo de identidad y el phishing dirigido son actividades lucrativas. Los pasaportes y documentos de identidad en combinación con información de salarios le dan a un atacante exactamente lo que necesita para suplantar la identidad de alguien.

La dirección de Berlín, encabezada por el burgomaestre en funciones Kai Wegner, confirma que los datos personales e información no pública están incluidos en el material robado – pero mantiene los detalles en secreto citando la investigación en curso que involucra a la policía criminal estatal, las autoridades de seguridad federales y la fiscalía.

Una decisión correcta, una consecuencia difícil

El mensaje de Berlín es cristalino: no se pagará rescate alguno. Y desde una perspectiva de desarrollo de sistemas, es la posición correcta. Pagar nunca es garantía de que los datos se eliminen realmente – es más bien una invitación a más ataques, tanto contra la misma víctima como contra otros actores que ven que el método funciona.

Pero es importante ser honesto sobre lo que esa decisión implica en la práctica. Cuando el rescate no se paga, aumenta la presión para filtrar o vender los datos robados. Es el modelo de negocio de Rhysida – los datos son su ficha de negociación, y sin pago, la ficha pierde valor si no se utiliza de otra manera.

Para los ciudadanos berlineses afectados – aquellos cuyos pasaportes, números de teléfono e información de salarios potencialmente circulan ahora en manos equivocadas – la firmeza de principios de la ciudad es un pobre consuelo. Necesitan ayuda práctica: información clara sobre qué se robó, consejos sobre cómo protegerse, y quizás la posibilidad de reemplazar documentos de identidad.

Rhysida – un grupo que debemos conocer

Rhysida no son recién llegados a la escena. El grupo, que opera como un actor de extorsión como servicio, anteriormente se ha dirigido a, entre otros, el sector sanitario y público en varios países. Son conocidos por combinar sofisticación técnica con métodos de extorsión agresivos – y por seguir adelante con la publicación de datos cuando no se cumplen las demandas.

Esto hace que la situación de Berlín sea más urgente que si se tratara de un grupo menos experimentado. Rhysida tiene incentivos, infraestructura e historial de actuar sobre sus amenazas.

Un recordatorio de la vulnerabilidad del sector público

Lo que realmente duele es que las administraciones municipales en todo el mundo sigan siendo notablemente vulnerables. Entornos de TI complejos, infraestructura antigua, presupuestos de seguridad limitados y requisitos de disponibilidad crean una tormenta perfecta. Berlín está lejos de estar sola – ataques similares han afectado a ciudades y regiones desde Las Vegas hasta Leicester en los últimos años.

Pero es precisamente por eso que es importante destacar cómo Berlín está manejando las secuelas – transparencia, investigación en colaboración con autoridades federales, y una línea clara contra la extorsión. Es un modelo del que otros pueden aprender.