Hackers publicam credenciais roubadas após ataque à rede governamental de Berlim
Autoridades de Berlim investigam uma nova publicação de dados roubados da rede governamental da capital alemã. O material divulgado por hackers durante o fim de semana inclui credenciais de acesso, além de informações extraídas de dois órgãos públicos atingidos por um ataque cibernético identificado em agosto.
O governo de Berlim confirmou que o novo pacote foi publicado na madrugada de 6 de setembro e contém, entre outros dados, informações de autenticação. As autoridades, porém, não detalharam quais sistemas poderiam ser acessados com essas credenciais nem confirmaram se elas continuam válidas. Como medida preventiva, a Secretaria de Desenvolvimento Urbano, Construção e Habitação reforçou controles de segurança, o que pode provocar limitações temporárias em alguns sistemas administrativos.
O incidente começou entre 7 e 12 de agosto e afetou áreas da Secretaria de Desenvolvimento Urbano, Construção e Habitação e da Secretaria de Mobilidade, Transporte, Proteção Climática e Meio Ambiente. Segundo a autoridade de proteção de dados de Berlim, uma quantidade significativa de informações foi copiada durante o ataque e posteriormente publicada.
A análise do material ainda não foi concluída devido ao volume de dados. Entre as informações potencialmente expostas estão nomes, endereços, datas de nascimento, dados bancários, endereços de e-mail, números de telefone, correspondências mantidas com órgãos públicos e cópias de documentos encaminhados à administração. Dados pessoais de funcionários públicos foram confirmados entre o conteúdo comprometido, enquanto informações de cidadãos de Berlim também podem ter sido afetadas.
Uma força-tarefa adicional foi criada para analisar os arquivos e identificar as pessoas atingidas. A autoridade de proteção de dados recomenda que possíveis vítimas alterem senhas, monitorem movimentações bancárias e de cartões, ativem autenticação de dois fatores e redobrem a atenção com tentativas de phishing que possam explorar as informações vazadas.
O grupo de ransomware Rhysida assumiu a responsabilidade pelo ataque no fim de agosto e afirmou ter roubado 5,79 TB de informações, incluindo dezenas de milhares de contratos, e-mails, senhas e documentos classificados. O governo de Berlim confirmou o roubo de dados e o recebimento de uma tentativa de extorsão, mas não atribuiu oficialmente o ataque ao Rhysida nem confirmou o volume e o conteúdo reivindicados pelos hackers.
Berlim também declarou que não pagará aos responsáveis. Os sistemas comprometidos foram desconectados da rede governamental mais ampla em 14 de agosto. Os dois órgãos continuaram funcionando, embora parte dos funcionários tenha ficado temporariamente sem acesso normal a e-mail e internet e alguns serviços públicos dependentes desses ambientes tenham sido afetados.
Separadamente, o Escritório Federal de Segurança da Informação da Alemanha (BSI) alertou para uma campanha associada ao mesmo grupo criminoso ligado ao Rhysida. A atividade apresenta características semelhantes às campanhas TerminalFix, nas quais sites comprometidos exibem falsas verificações CAPTCHA que induzem usuários a copiar e executar comandos maliciosos no PowerShell ou Windows Terminal.
Segundo o BSI, ataques associados à campanha buscaram roubar informações e instalar ransomware, combinando exfiltração de dados com extorsão pela ameaça de publicação. A agência relacionou a operação ao malware LoremIpsumLoader, também conhecido como AxolotLoader, e afirmou que, até o momento, não há evidências de ligação com grupos patrocinados por Estados ou motivados politicamente.
O Rhysida opera desde 2023 e já atacou governos, hospitais, instituições de ensino e empresas em diferentes países. De acordo com o BSI, organizações governamentais e da administração pública estão entre os cinco setores mais frequentes no site de vazamentos do grupo, embora educação e saúde permaneçam como seus principais alvos.
