Berlim confirma tentativa de extorsão após intrusão na rede administrativa estatal

As autoridades de Berlim confirmaram que o governo do Estado foi alvo de uma tentativa de extorsão após uma intrusão que afetou a rede administrativa estatal em agosto. A pesquisa forense interna detectou vazamentos de dados relacionados ao portfólio do Senado para Mobilidade, Transporte, Proteção do Clima e Meio Ambiente (exfiltração datada de 7 a 12 de agosto de 2026) e disse que não pode ser excluído que nos arquivos sustraídos haja informação pessoal ou não pública. O Executivo local declarou que não pagará aos extorsionadores. Ao mesmo tempo, um site de vazamentos atribuído por meios e serviços de monitoramento a um grupo conhecido como Rhysida publicou em 28 de agosto uma suposta coleção de dados que o ator atribui a “Berlin, Germany”, indicando 5,79 terabytes e dados pessoais sobre 12.076 indivíduos; esses números provêm do próprio ator e não foram confirmados pelo Estado.

Atos confirmados: A rede administrativa estadual sofreu uma intrusão e consequente isolamento de departamentos; a investigação forense detectou atividade de exfiltração de dados em torno da data indicada; foram relatadas as autoridades competentes (policia estatal, Ministério Público e organismos federais de segurança) e o Serviço Federal para a Segurança da Informação (BSI) e o comissário de proteção de dados foram informados.

Elementos ainda incertos ou reportados por terceiros: A atribuição técnica e legal do ataque não foi oficialmente ratificada pelo Senado; o volume e a natureza exata dos dados extraídos — além de que podem incluir informações pessoais — seguem em revisão; o número e o detalhe que publica o ator em seu site de vazamentos não foram verificados por peritos independentes do Estado.

Tecnicamente, a campanha encaixa com a modalidade que as agências de segurança norte-americanas e centros de resposta têm documentado para grupos como Rhysida: acesso inicial por conta válida em serviços expostos (por exemplo, portas de ligação VPN) quando falta a proteção de autenticação multifatora (MFA); exploração de vulnerabilidades de elevação de privilégios em infra-estruturas Windows (por exemplo, vulnerabilidade Zerologon, CVE-2020-1472, que permite comprometer controladores de domínio se não estiver adesivo); ou por phishing para capturar credenciais. Uma vez dentro, o ator realiza movimentos laterais, agrega e comprime dados relevantes e os exfiltra para servidores externos para exigir resgate ou publicá-los em um site de vazamentos como tática de “doble extorsão”. Relatórios públicos anteriores sobre Rhysida e conselhos de agências como a CISA sublinham a recorrência destas técnicas e recomendam medidas concretas de mitigação ( CISA - Ransomware Guidance, documento de referência para defensores).

As implicações concretas para cidadãos e organizações são várias e práticas. Para as pessoas cujos dados possam figurar numa fuga: risco imediato de suplantação de identidade, fraudes por e-mail ou SMS (phishing/SMiShing), e exposição de informações sensíveis que podem ser aproveitadas para extorsão direta. Para a administração pública: perda de confiança, possível obrigação legal de notificar a pessoa em causa de acordo com normas de protecção de dados, interrupções operacionais (por exemplo, indisponibilidades de serviços como auxílios de habitação) e custos de resposta forense, remediação e comunicação. No plano cívico, existe também uma dimensão política: embora as autoridades tenham dito que, por enquanto, não há indícios de que sistemas ligados à gestão da escolha regional de 20 de Setembro tenham sido comprometidos, a situação requer vigilância contínua até que as pertagens o confirmem.

Consequências reais e prováveis: a curto prazo, a continuidade dos serviços degradada e o aumento das tentativas de fraude dirigidas a pessoas potencialmente afectadas; a médio prazo, investigação penal em curso e possível carga administrativa e financeira para o Estado; a longo prazo, necessidade de reforçar os controlos de acesso, segmentação de redes e políticas de gestão de credenciais para reduzir o risco de reincidente.

Recomendações práticas e específicas para leitores particulares: mude senhas críticas e active a autenticação multifatorial (MFA) onde seja possível; desconfíe de e-mails, SMS ou chamadas a pedir informações ou acesso, especialmente se eles afirmam estar relacionados com “se necessário” ou com serviços públicos; verifique notificações oficiais e comunicações diretas do governo de Berlim antes de seguir instruções; monitorize movimentos bancários e alertas de crédito no seu país, e considere congelar o relatório de crédito se suspeitar de risco de fraude de identidade. Se tiver recebido um aviso direto da administração, siga as instruções oficiais e pergunte por canais verificados.

Para responsáveis por empresas e organizações, a lista de ações imediatas inclui: preservar registros e evidências para a pesquisa forense, isolar sistemas afetados, revisar e reforçar a segmentação de rede, forçar o restabelecimento de credenciais em contas com acesso remoto, implementar MFA em todos os pontos de acesso expostos, priorizar o adesivo de vulnerabilidades conhecidas (por exemplo, mitigar CVE-2020-1472 se aplica — mais informação técnica no guia da Microsoft sobre Zerologon CVE-2020-1472) e preparar um plano de comunicação claro para usuários e reguladores. Não existe garantia de recuperação após pagar um resgate; as agências de segurança recomendam não financiar os atacantes e coordenar a resposta com forças de ordem e equipamentos de resposta a incidentes.

No que diz respeito à comunicação pública, as autoridades devem acelerar e clarificar dois pontos essenciais para reduzir danos colaterais: fornecer uma lista clara de quais tipos de dados (se for caso disso, por registros ou serviços) podem ter sido violados; e emitir instruções práticas para afetados, incluindo contatos de verificação e passos de mitigação (por exemplo, onde denunciar tentativas de fraude). A ausência de informação detalhada aumenta a exposição de cidadãos e facilita campanhas de phishing que aproveitam a incerteza.

Finalmente, embora a atribuição pública a um ator específico como Rhysida apareça em relatórios de imprensa e em sites de filtragem, a confirmação formal deve corresponder às pesquisas forenses e judiciais em curso. Até que esses resultados sejam públicos, convém tratar os números de volume e o detalhe dos arquivos publicados pelo suposto atacante como estimativas não verificadas. O que é incontestável é a lição operacional: a prevenção básica (MFA, adesivo, segmentação, cópias de segurança fora de linha e consciência contra o phishing) continua sendo a defesa mais eficaz contra este tipo de agressões; o reforço dessas medidas é a ação prática mais rentável e urgente tanto para administrações como para cidadãos.