Berlino si è svegliata venerdì 28 agosto 2026 con una notizia che ha scosso l'intera amministrazione della città stato tedesca: il gruppo ransomware Rhysida ha rivendicato il furto di 5,79 terabyte di dati dalla rete del Senato berlinese, minacciando di metterli all'asta sul dark web se non riceverà un riscatto di 30 Bitcoin, pari a circa 77.622 dollari al momento dell'annuncio. L'attacco arriva a meno di un mese dalle elezioni per l'Abgeordnetenhaus, il parlamento cittadino, fissate per il 20 settembre 2026, aggiungendo una dimensione politica a una vicenda che si preannuncia già come uno dei più gravi incidenti informatici mai subiti da un'amministrazione pubblica tedesca. In questo articolo ricostruiamo cosa è successo, chi è Rhysida, quali dati sarebbero stati sottratti, come stanno reagendo le autorità e cosa insegna questo episodio sulla sicurezza informatica degli enti pubblici.
Indice dei Contenuti
- Cosa è Successo: l'Attacco alla Rete di Berlino
- Chi è Rhysida, il Gruppo Dietro l'Attacco
- I Dati Rubati, tra Contratti, Password e Documenti Riservati
- La Richiesta di Riscatto, 30 Bitcoin e il Countdown dell'Asta
- La Reazione delle Autorità di Berlino
- Rhysida non è Nuova, i Precedenti Attacchi del Gruppo
- Esperienza sul Campo e Parere degli Esperti sulla Minaccia Ransomware
- Le Implicazioni per la Sicurezza degli Enti Pubblici
- Come Proteggersi dal Ransomware, Buone Pratiche per Aziende ed Enti
- Domande Frequenti
- Conclusione
Cosa è Successo, l'Attacco alla Rete di Berlino
L'incidente è emerso pubblicamente a metà agosto 2026, quando la Senatsverwaltung, l'amministrazione del Senato di Berlino, ha registrato anomalie sulla propria rete informatica interna, nota come BeLa. Nei giorni successivi, mentre i tecnici lavoravano per contenere l'intrusione, sulla leak site di Rhysida nel dark web è comparso un annuncio con un conto alla rovescia e la rivendicazione dell'attacco. Il 28 agosto 2026 il sindaco governante Kai Wegner (CDU) ha confermato pubblicamente, insieme alla senatrice per gli Affari Interni, la Digitalizzazione e lo Sport Iris Spranger, che Berlino è stata effettivamente colpita da un tentativo di estorsione informatica.
Secondo quanto riportato dallo Spiegel e confermato da fonti della sicurezza, dietro l'attacco ci sarebbe il gruppo Rhysida, una ransomware gang ritenuta operativa dalla Russia o dall'Europa orientale. Il gruppo sostiene di aver sottratto 5,79 terabyte di dati, una quantità che secondo alcune stime giornalistiche corrisponderebbe a circa 1,44 milioni di file. Le autorità berlinesi hanno isolato tempestivamente i segmenti di rete coinvolti e attivato una task force di crisi coordinata dal responsabile della sicurezza informatica del Land, con il coinvolgimento della Landeskriminalamt di Berlino, della Procura e del Bundesamt für Sicherheit in der Informationstechnik, l'autorità federale tedesca per la cybersicurezza.
Un elemento che ha rassicurato parzialmente cittadini e osservatori riguarda le elezioni imminenti: gli funzionari hanno confermato che l'infrastruttura elettorale e i relativi dati non risultano coinvolti nella violazione, un dettaglio non secondario considerando il voto per il rinnovo del parlamento cittadino previsto per il 20 settembre.
Chi è Rhysida, il Gruppo Dietro l'Attacco
Rhysida è un gruppo di ransomware as a service, un modello criminale in cui gli sviluppatori del malware affittano il proprio strumento ad affiliati che conducono materialmente gli attacchi in cambio di una quota del riscatto. Secondo l'avviso congiunto pubblicato da FBI, CISA e MS ISAC, Rhysida è attivo almeno dal maggio 2023 e ha colpito prevalentemente i settori dell'istruzione, della sanità, della manifattura, dell'information technology e della pubblica amministrazione.
Il gruppo si è guadagnato notorietà internazionale nell'ottobre 2023 con l'attacco alla British Library di Londra, che causò settimane di disservizi ai cataloghi digitali dell'istituzione. Da allora Rhysida ha rivendicato centinaia di intrusioni in tutto il mondo, colpendo anche realtà sanitarie, aziende manifatturiere e amministrazioni locali, tra cui in Germania la città di Stoccarda. Le autorità statunitensi descrivono il gruppo come particolarmente attivo contro il settore pubblico, con una predilezione per gli attacchi a doppia estorsione: prima cifrano i sistemi della vittima, poi minacciano di pubblicare i dati sottratti se il riscatto non viene pagato, così da esercitare una duplice pressione.
Le indagini forensi condotte da diversi ricercatori indicano che gli affiliati di Rhysida utilizzano tecniche relativamente standard per il settore, come il phishing per ottenere le prime credenziali di accesso, strumenti di ricognizione della rete come PowerView, movimenti laterali tramite framework come Impacket e la cancellazione dei log di sistema per ostacolare le indagini successive. Il riscatto viene richiesto quasi sempre in Bitcoin e la nota di estorsione viene tipicamente rilasciata in formato PDF con un codice identificativo univoco per ogni vittima.
I Dati Rubati, tra Contratti, Password e Documenti Riservati
Secondo quanto pubblicato dagli stessi aggressori sulla propria leak site, il pacchetto di dati sottratti a Berlino includerebbe oltre 46.500 contratti, dati relativi a circa 80.000 procedimenti per illeciti amministrativi, migliaia di email, numeri di telefono, informazioni classificate e circa 6.000 file contenenti credenziali di accesso. Alcune ricostruzioni giornalistiche parlano inoltre di circa 11.000 documenti riservati e di 16.000 email coinvolte, per un totale stimato tra 100.000 e 200.000 record complessivi.
Particolarmente delicati, secondo quanto dichiarato dal gruppo criminale, sarebbero i documenti relativi a infrastrutture critiche, piani di emergenza e pratiche giudiziarie. A titolo di prova, gli aggressori hanno pubblicato alcuni estratti di documenti recanti intestazioni riconducibili al Bundesrat e alla Senatsverwaltung für Mobilität, l'assessorato ai Trasporti berlinese. È importante sottolineare che l'autenticità e la completezza di questi dati non sono state verificate in modo indipendente dalle autorità o dalla stampa al momento della pubblicazione di questo articolo, e che le cifre diffuse provengono dagli stessi criminali, un dettaglio che invita a una lettura prudente delle dichiarazioni.
Ecco una sintesi dei principali elementi riportati finora dalle fonti giornalistiche e dagli stessi criminali.
| Elemento | Dettaglio riportato |
|---|---|
| Volume di dati dichiarato | 5,79 terabyte (secondo alcune fonti tedesche, tra 5,7 e 6 TB) |
| File coinvolti | Stimati in circa 1,44 milioni |
| Contratti | Oltre 46.500 |
| Procedimenti amministrativi | Circa 80.000 |
| File con credenziali | Circa 6.000 |
| Riscatto richiesto | 30 Bitcoin, equivalenti a circa 77.622 dollari o 2 milioni di euro |
| Countdown dell'asta | Sette giorni dall'annuncio del 28 agosto 2026 |
| Data della conferma ufficiale | 28 agosto 2026, dichiarazione del sindaco Kai Wegner |
La Richiesta di Riscatto, 30 Bitcoin e il Countdown dell'Asta
Sulla propria pagina nel dark web, Rhysida ha impostato un prezzo di partenza per l'asta pari a 30 Bitcoin, corrispondenti a circa 77.622 dollari al cambio del 28 agosto 2026, con un controvalore stimato in euro di circa due milioni. Accanto all'annuncio compare un conto alla rovescia di sette giorni, un formato che il gruppo utilizza abitualmente per aumentare la pressione psicologica sulle vittime e spingerle a trattare prima della scadenza.
Le autorità berlinesi hanno chiarito fin da subito la propria posizione: la città non intende cedere al ricatto. È una linea coerente con le raccomandazioni ufficiali delle agenzie di cybersicurezza occidentali, che sconsigliano il pagamento dei riscatti sia perché non garantisce la cancellazione effettiva dei dati sia perché alimenta il modello di business criminale, incentivando nuovi attacchi. Va inoltre ricordato che pagare un riscatto non elimina il rischio di pubblicazione dei dati, poiché nulla obbliga i criminali a rispettare gli accordi presi.
La Reazione delle Autorità di Berlino
La risposta istituzionale si è mossa lungo tre direttrici principali. La prima è stata l'isolamento immediato dei segmenti di rete compromessi, una misura standard per limitare la propagazione laterale del malware all'interno dell'infrastruttura BeLa. La seconda è l'attivazione di una task force interistituzionale che coinvolge il Landesbeauftragter für Informationssicherheit, cioè il responsabile della sicurezza informatica del Land, insieme alla polizia criminale berlinese e alla procura, per avviare le indagini penali. La terza direttrice riguarda il coordinamento con il Bundesamt für Sicherheit in der Informationstechnik, l'autorità federale che da anni classifica il ransomware come una delle minacce più gravi per amministrazioni pubbliche e imprese tedesche.
Sul fronte della comunicazione pubblica, il sindaco Wegner e la senatrice Spranger hanno scelto la trasparenza, confermando l'attacco in conferenza stampa invece di minimizzarlo, una scelta che si inserisce in un contesto elettorale delicato. La senatrice Spranger ha inoltre voluto rassicurare i cittadini specificando che l'infrastruttura utilizzata per la gestione del voto del 20 settembre non risulta compromessa. Resta però da chiarire, nelle settimane successive alla rivendicazione, l'esatta portata della violazione e quali categorie di cittadini o dipendenti pubblici siano effettivamente interessate dall'eventuale fuga di dati personali.
Esperienza sul Campo e Parere degli Esperti sulla Minaccia Ransomware
Chi lavora quotidianamente nella gestione di incidenti informatici riconosce nell'attacco a Berlino uno schema ormai familiare, ma non per questo meno pericoloso. Ecco alcune testimonianze rappresentative, anonime e a scopo esemplificativo, raccolte dal tipo di esperienze che professionisti del settore raccontano abitualmente riguardo a incidenti di questa natura.
Un responsabile della sicurezza informatica di un ente locale italiano racconta che il momento più critico non è la scoperta dell'attacco in sé, ma le prime ore successive, quando bisogna decidere quali sistemi isolare senza bloccare i servizi essenziali ai cittadini. Un consulente specializzato in risposta agli incidenti osserva che, nella sua esperienza, gli enti pubblici colpiti da ransomware scoprono quasi sempre di avere segmentazioni di rete insufficienti, un fattore che consente al malware di muoversi lateralmente con facilità. Un dipendente amministrativo coinvolto in un incidente analogo in passato ricorda la frustrazione di dover tornare temporaneamente a procedure cartacee per garantire la continuità dei servizi. Un analista di una società di threat intelligence sottolinea come, in molti casi analoghi, le prime avvisaglie fossero presenti nei log di sistema giorni prima della cifratura vera e propria, ma non erano state correlate in tempo utile. Infine, un funzionario che si è occupato di comunicazione istituzionale durante una crisi simile evidenzia quanto sia delicato bilanciare trasparenza verso i cittadini e necessità di non fornire informazioni utili agli aggressori durante le indagini in corso.
Domande e Risposte con gli Esperti
Conviene mai pagare il riscatto? Le agenzie governative, incluse CISA e FBI, sconsigliano il pagamento perché non garantisce la restituzione o cancellazione dei dati e finanzia ulteriori attività criminali.
Quanto tempo serve per riprendersi da un attacco come questo? Dipende dalla preparazione preventiva dell'organizzazione; enti con backup offline testati regolarmente possono ripristinare i sistemi in giorni, altri impiegano settimane o mesi.
I cittadini coinvolti devono fare qualcosa subito? In caso di conferma ufficiale della compromissione di dati personali, è opportuno seguire le comunicazioni ufficiali dell'ente, cambiare le password riutilizzate altrove e monitorare eventuali tentativi di phishing mirato.
Il Parere delle Autorità di Cybersicurezza
Il quadro tracciato dalle agenzie ufficiali è coerente e da anni ribadito. CISA, FBI e MS ISAC raccomandano alle organizzazioni di dare priorità alla correzione delle vulnerabilità note, di attivare l'autenticazione a più fattori su tutti i servizi critici, in particolare webmail e VPN, e di segmentare le reti per limitare la diffusione di un eventuale ransomware. Il Bundesamt für Sicherheit in der Informationstechnik tedesco classifica da tempo il ransomware come la principale minaccia informatica per amministrazioni pubbliche e imprese del paese, un giudizio che trova ulteriore conferma in episodi come quello berlinese e nel precedente attacco alla città di Stoccarda. Le indicazioni convergono su un punto: la prevenzione, attraverso backup offline regolarmente testati, formazione del personale e monitoraggio costante della rete, resta più efficace ed economica della gestione dell'emergenza a incidente già avvenuto.
Rhysida non è Nuova, i Precedenti Attacchi del Gruppo
Il caso di Berlino si inserisce in una storia criminale già lunga. Rhysida ha rivendicato centinaia di attacchi dal 2023, colpendo realtà molto diverse tra loro: dalla già citata British Library nel Regno Unito a diverse aziende sanitarie negli Stati Uniti, fino ad amministrazioni comunali e regionali in più paesi europei. In Germania, prima di Berlino, il gruppo aveva già colpito l'amministrazione comunale di Stoccarda. Secondo i dati raccolti da piattaforme specializzate nel monitoraggio delle attività ransomware, gli Stati Uniti risultano il paese più colpito dal gruppo, seguiti da Canada, Regno Unito, Germania e Australia, a conferma di un raggio d'azione che spazia su scala globale e non risparmia alcun settore, dalla manifattura alla sanità fino al settore pubblico.
Ciò che rende il caso berlinese particolarmente significativo, rispetto ai precedenti attacchi contro amministrazioni tedesche minori, è la scala dell'ente colpito: per la prima volta non un singolo Land rurale o una città di medie dimensioni, ma la capitale federale si trova al centro di un'estorsione informatica di un gruppo ransomware as a service internazionale, in un momento politicamente sensibile a ridosso delle elezioni cittadine.
Le Implicazioni per la Sicurezza degli Enti Pubblici
L'attacco a Berlino riporta al centro del dibattito pubblico un tema che gli esperti di cybersicurezza sollevano da anni: le amministrazioni pubbliche, spesso dotate di budget IT limitati rispetto alla mole di dati sensibili che gestiscono, restano bersagli particolarmente appetibili per i gruppi ransomware. Contratti, dati anagrafici, informazioni giudiziarie e documenti relativi a infrastrutture critiche rappresentano un patrimonio informativo di alto valore, sia per la pressione che la loro eventuale pubblicazione esercita sull'ente colpito, sia per il possibile riutilizzo da parte di altri attori malevoli, ad esempio per campagne di phishing mirato o furto d'identità.
Il tempismo dell'attacco, a poche settimane dal voto per il rinnovo dell'Abgeordnetenhaus, solleva inoltre interrogativi più ampi sulla resilienza delle infrastrutture digitali pubbliche in periodi elettorali, anche quando, come confermato in questo caso, i sistemi di voto non risultano direttamente coinvolti. La fiducia dei cittadini nelle istituzioni digitali può comunque risentire di episodi di questo tipo, indipendentemente dall'effettiva estensione del danno accertato nelle settimane successive.
Come Proteggersi dal Ransomware, Buone Pratiche per Aziende ed Enti
Le raccomandazioni delle principali agenzie di cybersicurezza restano valide indipendentemente dalla dimensione dell'organizzazione, pubblica o privata. Tra le misure più citate dagli avvisi ufficiali figurano l'applicazione tempestiva delle patch di sicurezza sulle vulnerabilità note e già sfruttate in rete, l'attivazione dell'autenticazione a più fattori su tutti i servizi esposti, in particolare webmail, VPN e accessi ai sistemi critici, e la segmentazione della rete per impedire che un'infezione in un singolo segmento si propaghi all'intera infrastruttura.
A queste si aggiungono pratiche più operative: mantenere backup regolari e conservarli offline o comunque isolati dalla rete principale, così da poter ripristinare i sistemi senza dover trattare con gli aggressori; formare il personale al riconoscimento delle email di phishing, ancora oggi il principale vettore di accesso iniziale per molte gang ransomware, incluso Rhysida; monitorare costantemente i log di sistema per individuare attività anomale, come tentativi di enumerazione della rete o cancellazioni sospette di registri eventi, che spesso precedono la cifratura vera e propria; predisporre un piano di risposta agli incidenti testato periodicamente, così da ridurre i tempi di reazione quando un attacco viene effettivamente rilevato.
Domande Frequenti
Cosa ha rivendicato il gruppo Rhysida contro Berlino?
Rhysida ha dichiarato di aver sottratto 5,79 terabyte di dati dalla rete del Senato di Berlino, tra cui contratti, email, numeri di telefono, password e informazioni classificate, minacciando di metterli all'asta se non riceverà un riscatto.
Quanto riscatto chiede Rhysida a Berlino?
Il gruppo chiede 30 Bitcoin, pari a circa 77.622 dollari al momento dell'annuncio del 28 agosto 2026, equivalenti secondo alcune stime a circa due milioni di euro.
Berlino pagherà il riscatto?
No. Le autorità berlinesi, a partire dal sindaco Kai Wegner, hanno dichiarato pubblicamente che la città non si piegherà alle richieste degli estorsori.
Le elezioni di Berlino del 20 settembre 2026 sono a rischio a causa dell'attacco?
Secondo quanto dichiarato dalle autorità, l'infrastruttura elettorale e i relativi dati non risultano coinvolti nella violazione subita dalla rete BeLa.
Chi è il gruppo Rhysida?
Rhysida è un gruppo ransomware as a service attivo almeno dal maggio 2023, noto per attacchi a doppia estorsione contro istruzione, sanità, industria manifatturiera ed enti pubblici, tra cui in passato la British Library e la città di Stoccarda.
È possibile verificare se i propri dati sono stati coinvolti in una violazione come questa?
In caso di violazioni confermate ufficialmente, gli enti coinvolti sono generalmente tenuti a informare le persone interessate. In generale, servizi come Have I Been Pwned permettono di controllare se il proprio indirizzo email è comparso in violazioni di dati note, sebbene la conferma ufficiale debba sempre arrivare dall'ente colpito.
Conclusione
L'attacco ransomware rivendicato da Rhysida contro la rete del Senato di Berlino segna uno dei casi più rilevanti di estorsione informatica ai danni di un'amministrazione pubblica tedesca, sia per il volume di dati dichiarato, 5,79 terabyte, sia per il contesto politico in cui si inserisce, a ridosso delle elezioni del 20 settembre 2026. Mentre le autorità berlinesi hanno scelto la linea della trasparenza e del rifiuto del pagamento, coerente con le raccomandazioni delle principali agenzie di cybersicurezza internazionali, restano ancora da chiarire nelle prossime settimane l'effettiva portata della violazione e le conseguenze concrete per i cittadini e i dipendenti pubblici i cui dati potrebbero essere stati coinvolti. Il caso conferma, ancora una volta, quanto gli enti pubblici restino bersagli privilegiati per gruppi ransomware as a service come Rhysida, e quanto investimenti costanti in prevenzione, segmentazione delle reti e formazione del personale restino la difesa più efficace contro una minaccia che, come dimostra questa vicenda, non risparmia nemmeno le capitali.
Fonti e Riferimenti
- Reuters, Berlin state agencies: Ransomware group says it stole Berlin data, offers it for auction, agosto 2026, internazionale.it
- Heise Online, 30 Bitcoin oder Leak, Ransomware Bande erpresst Berlin, heise.de
- CISA, FBI, MS ISAC, StopRansomware, Rhysida Ransomware Advisory AA23 319A, cisa.gov
- Ransomware.live, Profilo del gruppo Rhysida, ransomware.live
- Bundesamt für Sicherheit in der Informationstechnik (BSI), Autorità federale tedesca per la cybersicurezza, bsi.bund.de