La filtración de datos del Gobierno de Berlín ha dejado 5,79 terabytes de archivos administrativos y de defensa en la dark web. Las autoridades locales confirmaron a finales de agosto una extorsión tras el ataque al sistema administrativo y rechazaron pagar los 30 bitcoins que exigía el grupo Rhysida.
La amenaza Rhysida y la entrada ‘Berlin, Germany’
El grupo Rhysida reivindicó la exfiltración el 28 de agosto en su sitio de filtraciones con una entrada titulada ‘Berlin, Germany’. El botín suma 5,79 terabytes y 1,44 millones de archivos. La cifra no ha sido verificada de forma independiente, conviene subrayarlo. Entre los datos personales que los delincuentes aseguran poseer figuran 12.076 personas físicas, 16.389 correos electrónicos, 11.963 números de teléfono y 148 IBAN.
El material incluye más de 5.000 expedientes de personal, otras 5.000 sanciones administrativas, datos de nómina y credenciales en texto claro de sistemas como GebäudAtlas, la base de datos de ePayment PAYONE y cuentas Z_ADMIN. Las credenciales en texto claro del ePayment PAYONE y cuentas Z_ADMIN elevan el riesgo operativo. A todo ello se suman procedimientos disciplinarios, casos judiciales, protocolos del Bundesrat y acuerdos de confidencialidad. Demasiada información sensible para una red sin segmentar.
La lectura confidencial es otra. Los archivos publicados no son solo expedientes administrativos: hay documentos relacionados con la gestión de material clasificado y, según el grupo, documentos que supuestamente contienen secretos de Estado. El periodista de investigación Lars Winkelsdorf lo calificó en redes como ‘la catástrofe total’ y el peor incidente de este tipo en Alemania. Por mi experiencia en el sector de la seguridad, sé que las administraciones rara vez conocen el alcance de una intrusión hasta que el atacante decide publicarla.
El detalle más delicado es una carpeta con la etiqueta ‘AG CBRN-Rahmenplanung’: la sigla corresponde a amenazas químicas, biológicas, radiológicas y nucleares. Del material publicado se desprende que hay análisis de vulnerabilidad del suministro de agua de Berlín. Planes CBRN y análisis de vulnerabilidades del suministro de agua. Verá usted, tener planes operativos de esa naturaleza flotando en la dark web equivale a entregar planos de crisis a actores extranjeros.
No pagar rescates es la doctrina correcta, pero la filtración ha dejado de ser un chantaje económico para ser una crisis de seguridad nacional.
Por qué la filtración de datos del Gobierno de Berlín es una crisis de defensa
Berlín ha activado, una unidad central de crisis para revisar, verificar y evaluar los datos filtrados y apoyar la notificación a ciudadanos y empresas afectadas, según recoge Reuters. La cifra de afectados conocida es una estimación inicial; el recuento real de 1,44 millones de archivos se confirmará durante la auditoría. La política de no pagar rescates no detiene la hemorragia. No se equivoque conmigo: la decisión de no pagar es correcta, pero asumir que con eso basta es un error estratégico.
Si usted ha seguido este tipo de incidentes, sabrá que el Gobierno alemán ha tratado la ciberseguridad como un gasto de informática, no como una línea de defensa existencial. La administración alemana no ha medido el coste de una fuga de defensa. Lo escribí hace años en El quinto elemento: ‘el próximo 11S empezará con un clic’. Aquí no hay un avión, pero sí una amenaza a la defensa nacional construida sobre contraseñas en claro y una red sin una segmentación adecuada.
Le adelanto una cosa: Rhysida opera bajo un modelo de doble extorsión. Primero exfiltra datos, después cifra los sistemas y, por último, amenaza con publicar el material si no se paga. El grupo demuestra que la doble extorsión ya es la norma del sector. El grupo lo ha demostrado antes contra hospitales y administraciones municipales, una pauta que la la CISA documentó en 2023.
Dossier Moncloa: Ojos en la Sombra
El vector de amenaza es un ciberataque de ransomware con exfiltración y extorsión doble. Rhysida accedió a la red administrativa de Berlín, exfiltró al menos 5,79 terabytes de datos, cifró sistemas y reivindicó la filtración en su sitio de leaks de la dark web. La técnica habitual del grupo es explotar credenciales RDP y moverse lateralmente sin una segmentación efectiva, tal y como ha documentado el aviso de CISA sobre Rhysida.
Quién ataca: Rhysida, grupo cibercriminal con pauta conocida de doble extorsión. Quién defiende: la administración de Berlín y, en el plano federal, la Oficina Federal de Seguridad de la Información (BSI). Quién mira: los servicios de inteligencia de la OTAN y, desde Madrid, el CNI y el CCN-CERT monitorizan cualquier fuga europea que combine infraestructura crítica y defensa nacional. No me consta que el incidente afecte directamente a España, pero la frontera digital es porosa.
A juzgar por la naturaleza de los documentos —gestión de material clasificado y posibles secretos de Estado— estimo que la filtración compromete información de nivel Secreto en su capa administrativa y probablemente Reservado en los documentos operativos de defensa y protocolos CBRN. Lo digo con cautela: las etiquetas no confirman el contenido completo de los archivos.
El patrón recuerda a NotPetya (2017), que golpeó sistemas gubernamentales y corporativos en Europa con vocación de sabotaje puro. La diferencia es que Rhysida busca dinero, no destrucción, pero filtrar documentos de defensa convierte un chantaje económico en un regalo estratégico. No es una operación de bandera falsa conocida; es un fallo de arquitectura de red con consecuencias de seguridad nacional.
Lo veo así: Alemania ha pagado el precio de tratar la seguridad digital como un departamento de informática y no como un asunto de contrainteligencia. La red administrativa de un estado federado debería tener segmentación entre servicios administrativos y material clasificado. Si un grupo criminal ha podido descargar documentación de defensa, el aislamiento ha fallado en el diseño, no solo en la ejecución.
Dicho esto, las afirmaciones de Rhysida no han sido verificadas de forma independiente. En ciberguerra, la atribución y la inflación del botín forman parte del manual de la extorsión. No descarto que los 5,79 terabytes contengan material inflado o que parte de las credenciales publicadas no sean válidas. El próximo hito será el informe de auditoría que el comité de crisis de Berlín debe presentar a lo largo de septiembre, y de su contenido dependerá la reacción de los socios europeos.
