Cyberatak odczuli mieszkańcy. Hakerzy postawili władzom Berlina jasne ultimatum

Pierwsze oficjalne informacje o problemach pojawiły się 17 sierpnia 2026 r. Władze Berlina poinformowały wtedy o naruszeniu bezpieczeństwa sieci łączącej instytucje administracji kraju związkowego – Landesnetz Berlin.

W efekcie, dwa szczególnie dotknięte Senackie Departamenty (ds. Rozwoju Miasta, Budownictwa i Mieszkalnictwa oraz ds. Mobilności, Transportu, Ochrony Klimatu i Środowiska) musiały zostać prewencyjnie odizolowane od pozostałej części infrastruktury, co w perspektywie czasu miało małe znaczenie.

Dzisiaj powołano Zespół ds. Kryzysu ICT (...). Zespół ten koordynuje dalsze środki bezpieczeństwa i trwające badania kryminalistyczne. Bezpieczeństwo sieci landu Berlin jest najwyższym priorytetem.
Biuro Prasowe i Informacyjne Kraju Związkowego Berlina 17.09.2025

Analiza cyfrowych śladów wykazała bowiem, że dane opuszczały sieć między 7 a 12 sierpnia – urzędy odłączono 14tego. Ponadto nie wiadomo, czy 7 sierpnia był rzeczywistym początkiem ataku – dostęp do infrastruktury mógł zostać uzyskany wcześniej (początek wycieku danych ≠ początek cyberataku). Oznacza to, że przestępcy mogli już wcześniej poruszać się po sieci, zdobywać uprawnienia i kopiować informacje.

Zbyt optymistyczne początkowe szacunki

W pierwszych dniach po ujawnieniu włamania obraz strat pozostawał niejasny. Berliński sekretarz stanu ds. cyfryzacji, Florian Hauer, mówił o kradzieży przede wszystkim danych geograficznych, które przynajmniej częściowo były już dostępne publicznie. 

Dwa dni później poinformowano jednak o odkryciu kolejnych odpływów danych, z dwóch wymienionych wcześniej departamentów. Władze nie były już w stanie wykluczyć, że wśród skopiowanych informacji znalazły się m.in. dane osobowe.

(...) Obecnie zakładamy, że atak został opanowany. Jednak dochodzenia kryminalistyczne i skanowanie sieci landu Berlin będą kontynuowane do odwołania. Grupa zadaniowa ds. kryzysów ICT również pozostanie aktywna do odwołania.
Florian Hauer, Berliński sekretarz stanu ds. cyfryzacji

Cyberatak odczuli też mieszkańcy

Odłączenie urzędów od Landesnetz przełożyło się na codzienne funkcjonowanie administracji i dostępność części usług publicznych.

W poszczególnych dzielnicach Berlina pojawiły się na przykład utrudnienia w obsłudze ogólnych procedur związanych z budownictwem, użytkowaniem przestrzeni publicznej, czy świadczeniami mieszkaniowym. RBB informował też o problemach z obsługą wniosków o mieszkanie socjalne (Wohnberechtigungsschein).

Czasowe komplikacje dotknęły i internetowy system składania wniosków o dokumenty potrzebne do głosowania korespondencyjnego – przed wyborami 20 września. Senatorka Iris Spranger ogłosiła jednak, że te „nie są zagrożone atakiem”, a problemy z portalem były związane z działaniami zabezpieczającymi i zwiększonym obciążeniem infrastruktury po cyberataku. 

Oba urzędy zostały ponownie podłączone do Landesnetz w weekend 22–23 sierpnia.

Szantaż po wycieku

Kolejny etap rozpoczął się pod koniec sierpnia, kiedy to władze Berlina potwierdziły otrzymanie żądania związanego ze skradzionymi informacjami. Burmistrz Kai Wegner i senatorka ds. wewnętrznych Iris Spranger zapowiedzieli:

Land Berlin nie da się szantażować.
Burmistrz Kai Wegner i senatorka ds. wewnętrznych Iris Spranger

Według informacji opublikowanych przez grupę, która przyznała się do przeprowadzenia ataku, miała ona przejąć 5,79 TB danych: dziesiątki tysięcy umów, korespondencja, numery telefonów, dane uwierzytelniające i informacje o ograniczonej dostępności.

Grupa miała też wystawić skradziony „materiał” (nie wiadomo czy opublikowane dane to faktycznie te z wycieku) na aukcję, ustalając cenę początkową na 30 bitcoinów (prawie 290 tys. zł.).

Do tych liczb należy jednak podchodzić ostrożnie – są to deklaracje cyberprzestępców, którzy mają oczywisty interes w przedstawianiu skali włamania jako możliwie największej. Na dzień dzisiejszy (1 września) władze Berlina nie opublikowały własnego potwierdzenia tych informacji.  

Kto stoi za atakiem

Mimo że niemieckie organy nie wskazały dotąd konkretnego sprawcy ataku, odpowiedzialność za niego publicznie przypisała sobie Rhysida – grupa ransomware powiązana z państwami Wspólnoty Niepodległych Państw (CSI).

Reuters podaje, że od momentu pojawienia się grupy w 2023 r. przypisano jej w sumie 280 incydentów. Na naszych łamach opisywaliśmy atak na The Washington Times, Biuro Szeryfa na Florydzie i gabinety dentystyczne. Jedną z jej najbardziej znanych ofiar jest jednak British Library w Londynie – w przypadku której część skradzionych danych faktycznie trafiła do darknetu.

Zagrożenie ze strony grupy było traktowane poważnie od samego początku. Już 3 lata temu Amerykańskie FBI, CISA i MS-ISAC opublikowały wspólne ostrzeżenie dotyczące Rhysidy. W 16 stronicowym dokumencie opisano jej techniki i wskaźniki pomagające wykrywać infekcje.

Największe zagrożenie po samym ataku

Znaczenie tego wycieku będzie zależało przede wszystkim od tego, co rzeczywiście znalazło się w skopiowanym zbiorze.

Jeżeli wykradziono materiały o niewielkiej wrażliwości, analogicznie i skutki zostaną ograniczone. Jeśli jednak potwierdzi się obecność danych osobowych, korespondencji, haseł czy dokumentów administracyjnych, konsekwencje incydentu mogą się uwidaczniać długo po przywróceniu działania urzędowych systemów.

Joachim Selzer z Chaos Computer Club zwrócił uwagę, że przejęte dane mogą być użyte nie tylko przez pierwotnych napastników – mogą być też sprzedane, albo opublikowane do dyspozycji kolejnych przestępców. 

Obecnie istnieje zagrożenie, że sprzedadzą dane, takie jak hasła, na czarnym rynku. (...) Jeśli nie będą chcieli całkowicie się skompromitować, to to zrobią.
Joachim Selzer, Chaos Computer Club

Osoby działające w złych zamiarach rzadko ograniczają się do jednego źródła danych. Łączą oni publicznie dostępne informacje z na przykład tymi pochodzącymi z wcześniejszych incydentów. W końcu adres e-mail zestawiony z nazwiskiem, numerem telefonu, stanowiskiem, historią korespondencji czy informacjami o prowadzonych sprawach administracyjnych, jest podstawą bardzo wiarygodnego ataku socjotechnicznego.