Берлин отказался платить вымогателям после взлома городской госсети
Власти Берлина подтвердили попытку вымогательства после августовского компрометации городской административной сети и заявили, что не будут платить злоумышленникам. Судебная экспертиза также обнаружила дополнительный вывод данных из портфеля Сенатского департамента мобильности, транспорта, защиты климата и окружающей среды в период с 7 по 12 августа 2026 года.
Объём и содержание похищенной информации продолжают изучать. Канцелярия Сената не исключила, что среди данных могли быть персональные сведения или другая непубличная информация. Официальную оценку объёма утечки Берлин пока не публиковал.
Заявления Rhysida и позиция властей
Der Spiegel связал атаку с группой Rhysida, сославшись на публикацию на её даркнет-площадке и источники, участвующие в реагировании. Запись с названием «Berlin, Germany» появилась на сайте утечек группы 28 августа. В ней жертвой указан Берлин, без уточнения конкретного ведомства.
Rhysida утверждает, что получила 5,79 ТБ данных и около 1,44 млн файлов, а также персональную информацию о 12 076 людях. Эти сведения исходят от самих атакующих и не подтверждены городскими властями. В публикации не названа сумма выкупа; среди категорий файлов крупнейшей указаны 124 823 файла карт и геоданных.
Правящий бургомистр Кай Вегнер после специального заседания Сената заявил, что землю Берлин шантажируют. В расследовании участвуют земельная криминальная полиция, прокуратура и федеральные органы безопасности. Канцелярия Сената также информирует берлинского уполномоченного по защите данных и Федеральное ведомство по информационной безопасности Германии.
Хронология инцидента и работа сети
По данным канцелярии, департамент впервые сообщил об оттоке данных 7 августа, а 14 августа его отключили от сети. О компрометации государственной сети Берлин публично сообщил 17 августа, указав, что два затронутых ведомства были изолированы с предыдущей пятницы.
На пресс-конференции 19 августа Вегнер назвал инцидент серьёзным и сказал, что на тот момент не было известно об уходе чувствительных данных из госсети. Пока два ведомства оставались отключёнными, были недоступны заявления и выплаты жилищных пособий. Все сенатские департаменты подключили обратно 23 августа, а экспертиза и сканирование сети продолжаются.
Сенатор внутренних дел Ирис Шпрангер заявила, что, по текущей оценке, данные из зон, важных для выборов в Палату депутатов 20 сентября, не покидали сеть. Сотрудники службы безопасности считают избирательную среду защищённой.
Какие меры рекомендуют для защиты
В совместном бюллетене CISA, ФБР и MS-ISAC описаны известные способы первоначального доступа, применявшиеся Rhysida: действительные скомпрометированные учётные записи для внешних удалённых сервисов и VPN, уязвимость Zerologon CVE-2020-1472, а также фишинг. Ведомства отмечают, что отсутствие MFA по умолчанию на VPN повышает риск такого проникновения.
CISA и ФБР не рекомендуют платить выкуп: оплата не гарантирует восстановление данных и может стимулировать новые атаки. Практический вывод для организаций — устранять известные эксплуатируемые уязвимости, включать многофакторную аутентификацию для сервисов и сегментировать сеть, чтобы ограничивать распространение вымогательского ПО.