Цифровая инфраструктура берлинской земельной администрации подверглась кибератаке, за которой последовали попытки вымогательства. Руководство столичного региона заявило, что платить хакерам не намерено.

Атака произошла в промежутке между 7 и 12 августа 2026 г.; злоумышленники - судя по всему, речь об APT-группировке Rhysida, - утверждают, что им удалось вывести без малого 6 терабайт данных, в которых содержится личная информация более чем 12 тысяч человек.

Министерства мобильности, транспорта, защиты климата и окружающей среды Сената федеральной земли Берлин.

В канцелярии Сената заявили, что нельзя исключать утечку конфиденциальных данных о гражданах административной единицы. Однако никаких рекомендаций для самих граждан в органе не предоставили.

«Берлин подвергается шантажу», — заявил мэр Кай Вегнер (Kai Wegner) после специального заседания Сената в Красной ратуше.

В заявлении канцелярии Сената говорится, что государственная уголовная полиция, прокуратура и федеральные органы безопасности расследуют действия предполагаемых преступников, но не назвали подозреваемых.

В свою очередь издание Der Spiegel отметило, что именно Rhysida выложила на своем сайте утечек информацию об атаке на администрацию Берлина.

В своей публикации хакеры объявили, что смогли выкачать около 1,44 млн файлов общим размером 5,79 терабайта.

В комплекте - одиннадцать категорий файлов, самая большая из которых содержит 124 823 файла. Все они содержат географические карты и геоданные. На них приходится около четверти от общего заявленного количества файлов.

ИТ, активы и инфраструктура в одном контуре: какие перемены это даст компании? Цифровизация

Берлин впервые сообщил об инциденте 17 августа, признав нарушение безопасности государственной сети. Ресурсы затронутых ведомств были изолированы с 14 и до 23 августа .

На пресс-конференции 19 августа мэр Вегнер заявил, что инцидент рассматривается как весьма серьезный, но подчеркнул, что, по его информации на тот момент, никакие конфиденциальные данные украдены не были.

Сейчас, видимо, ситуация рассматривается иначе.

Сенатор по внутренним делам Ирис Спрангер, в свою очередь, заявила, что никаких данных, имеющих отношение к проведению выборов в берлинскую Палату представителей 20 сентября, хакерам не достались, и что сотрудники службы безопасности считают избирательную обстановку безопасной.

Вымогательская группировка Rhysida (Storm-0832 по версии Microsoft) характеризуется относительной неразборчивостью в выборе мишеней: с 2023 года она атаковала порядка 280 организаций в в секторах образования, здравоохранения, производства, информационных технологий и государственного управления. Сама по себе вымогательская программа сдается в аренду по RaaS-модели. Ее операторы были многократно замечены в использовании легитимных системных утилит и инструментов администрирования Windows (по принципу Living-off-the-land).

Для получения первичного доступа злоумышленники использовали несколько методов. Во-первых, в дело шли действующие аккаунты в удаленных сервисах, доступных извне; используя их, злоумышленники аутентифицировались во внутренних VPN-сервисах целевых организаций, где учетные данные были уже скомпрометированы заранее, а многофакторная аутентификация отсутствовала. Во-вторых, они активно эксплуатировали уязвимость Zerologon (CVE-2020-1472), которая позволяла повысить привилегии в протоколе удаленного доступа Netlogon от Microsoft. Microsoft исправила этот «баг» еще в августе 2020 года.

Минцифры запустит реестр доверенного ПО до конца года. Отбирать софт будут структура «Росатома» и еще 4 неизвестные организации

Третьим излюбленным методом был банальный, но эффективный фишинг.

«Вымогатели, особенно те, которые используют RaaS-программы, редко обладают какой-то особой экспертностью и явно предпочтут использовать проверенные методы первичного проникновения, - считает Михаил Зайцев, эксперт по информационной безопасности компании SEQ. - И проблема заключается именно в том, что эти методы, будучи широко известными и многократно описанными, сохраняют актуальность и в коммерческом, и в государственном секторах по всему миру».

Роман Георгиев