Berlin i MAG po cyberatakach: bez okupu

Berlin mówi „nie” szantażystom

Władze Berlina potwierdziły, że padły ofiarą próby wymuszenia okupu po cyberataku na miejską sieć administracyjną. Stolica Niemiec nie zamierza spełnić żądań napastników, a śledczy nadal ustalają skalę incydentu.

Według dotychczasowych ustaleń dodatkowy wyciek danych wykryto w obszarze odpowiedzialnym za mobilność, transport, ochronę klimatu i środowiska. Dane miały być wyprowadzane między 7 a 12 sierpnia 2026 r. Władze podkreślają, że nie można wykluczyć, iż wśród skradzionych informacji znalazły się także dane osobowe lub inne niepubliczne materiały.

Co wiadomo o ataku

Berlin pierwszy raz ujawnił incydent 17 sierpnia, informując o kompromitacji sieci państwowej. Później poinformowano, że oba dotknięte wydziały zostały odłączone od sieci, a 23 sierpnia wszystkie jednostki senatu ponownie połączono z infrastrukturą.

Władze miasta nie podały oficjalnie, ile danych mogło zostać skradzionych. Jedyna konkretna liczba pojawiła się na stronie przestępców: zapis miał wskazywać na 5,79 TB danych oraz informacje dotyczące 12 076 osób. W tym samym wpisie wskazano też około 1,44 miliona plików.

Napastników nie wskazano oficjalnie z nazwy, ale w przestrzeni analitycznej atak łączony jest z grupą Rhysida. To właśnie ten wpis pojawił się na jej stronie wyciekowej 28 sierpnia. Berlin nie opublikował jednak osobnego komunikatu z instrukcjami dla osób, których dane mogły zostać ujawnione.

Śledztwo i ryzyko dla mieszkańców

Sprawą zajmują się policja kryminalna, prokuratura oraz federalne służby bezpieczeństwa. Senat informuje też o bieżącym kontakcie z komisarzem ds. ochrony danych oraz z Federalnym Urzędem ds. Bezpieczeństwa Informacji.

Jednocześnie władze uspokajają, że na obecnym etapie nie ma podstaw, by wiązać incydent z bezpieczeństwem wyborów do berlińskiego parlamentu zaplanowanych na 20 września. Według odpowiedzialnej za sprawy wewnętrzne Iris Spranger dane związane z organizacją głosowania nie miały wypłynąć z istotnych obszarów systemu.

Wcześniej, podczas najostrzejszej fazy incydentu, niedostępne były m.in. wnioski i wypłaty świadczeń mieszkaniowych. Po ponownym podłączeniu systemów analiza i skanowanie sieci nadal trwają.

Dlaczego Rhysida jest groźna

Rhysida to grupa znana z ataków typu double extortion: najpierw szyfruje albo kradnie dane, a potem szantażuje ofiarę publikacją materiałów. Amerykańskie agencje bezpieczeństwa wskazywały wcześniej, że grupa korzysta m.in. z:

• przejętych kont w usługach zdalnego dostępu,
• luk takich jak Zerologon (CVE-2020-1472),
• kampanii phishingowych.

W zaleceniach dla organizacji pojawiają się przede wszystkim: wieloskładnikowe uwierzytelnianie, szybkie łatanie znanych podatności oraz segmentacja sieci, aby ograniczyć rozprzestrzenianie się ransomware.

Równoległy incydent na lotniskach w Wielkiej Brytanii

Drugim głośnym przypadkiem, opisanym w tym samym czasie, jest atak na Manchester Airports Group (MAG), operatora lotnisk w Manchesterze, Londynie Stansted i East Midlands.

Firma poinformowała, że nieupoważniona strona uzyskała dostęp do danych klientów związanych z:

• rezerwacjami parkingów,
• salonikami lotniskowymi,
• usługą Fast Track,
• zapisami do sieci WiFi na lotniskach.

Wśród ujawnionych danych znalazły się adresy e-mail, numery telefonów, numery rejestracyjne pojazdów i kody pocztowe. MAG zaznacza, że system nie przechowuje danych kart ani innych danych płatniczych, a bezpieczeństwo operacyjne lotnisk i ruch pasażerski nie zostały naruszone.

Na wszelki wypadek firma zawiesiła dostęp do usługi Manage My Booking. Zmiany w rezerwacjach z najbliższych 72 godzin mają być obsługiwane przez dział obsługi klienta.

Co powinny zrobić potencjalnie poszkodowane osoby

W obu przypadkach najważniejsze jest zachowanie ostrożności. Osoby, których dane mogły wyciec, powinny liczyć się z próbami:

• phishingu,
• podszywania się pod instytucje,
• kontaktu telefonicznego lub SMS-owego w sprawie „pilnych dopłat” albo „weryfikacji danych”.

W praktyce warto uważnie sprawdzać wiadomości i nie klikać w linki prowadzące do logowania lub płatności, jeśli nadawca budzi choć cień wątpliwości.

Wspólny mianownik: dane są dziś celem samym w sobie

Zarówno Berlin, jak i MAG pokazują, że w dzisiejszych atakach cyberprzestępcy nie zawsze chcą od razu sparaliżować usługę. Coraz częściej celem staje się kradzież danych, które można później wykorzystać do szantażu, sprzedaży lub dalszych ataków.

To właśnie dlatego organizacje publiczne i prywatne muszą traktować bezpieczeństwo sieci, segmentację systemów i ochronę kont uprzywilejowanych jako priorytet, a nie dodatek.