Berlin, Rhysida i odmowa okupu. Co zostaje, gdy państwo nie płaci
Nie będzie tu adresu strony wyciekowej ani listy plików do pobrania. Rhysida i tak to zrobiła za mnie. Interesuje mnie coś innego: co oznacza publiczne „nie płacimy”, kiedy po drugiej stronie stoi countdown, a potem pojawia się paczka w terabajtach.
W piątek 5 września 2026 Euronews i niemieckie media opisywały publikację prawie sześciu terabajtów danych z berlińskiej administracji landowej. Grupa żądała 30 bitcoinów, około dwóch milionów euro. Senat Berlina wcześniej powtórzył zasadę: land nie daje się szantażować. Countdown minął. Pakiet poszedł na leak site.
Oś od sierpnia
Według chronologii Heise atak nie zaczął się w dniu ogłoszenia. Eksfiltracja z dwóch senackich administracji (rozwoju miast / budownictwa oraz mobilności / transportu / środowiska) miała miejsce mniej więcej między 7 a 12 sierpnia 2026, a sam dostęp był wcześniejszy. 14 sierpnia obie jednostki odcięto od sieci landu. 17 sierpnia Senat mówił o „incydencie ICT” w sieci berlińskiej, kryzysowym sztabie, BKA, LKA i BSI.
Skutki były nudne i przez to realne. Przez kilka dni wisiały wypłaty, w tym mieszkaniowe dla dziesiątek tysięcy gospodarstw. Do 24 sierpnia władze ogłosiły, że administracja wraca do pracy. 28 sierpnia burmistrz Kai Wegner powtórzył: Berlin nie da się szantażować. Spiegel wiązał sprawę z Rhysidą. Na stronie grupy wisiał żądany okup i fragmenty rzekomego zbioru.
1 września rzecznicy potwierdzili to, co szantażyści obiecywali wcześniej: w paczce były też hasła. Hasła do części aplikacji specjalistycznych, w plaintext, trzymane w plikach Office. Pracownicy dwóch dotkniętych jednostek stracili pracę z domu. Land sprawdzał około 12 tysięcy systemów, wokół zegara.
To jest ważniejsze niż sam fakt istnienia ransomware. Państwo może odciąć sieć, postawić kryzysówkę i powiedzieć „nie płacimy”. Jeśli ktoś trzymał listy haseł w Wordzie, odmowa okupu nie kasuje tego Worda z archiwum atakującego.
Co poszło w publikację
Euronews podaje skalę z wycieku: prawie 6 TB, około 1,44 miliona plików. Wśród nazw folderów pojawia się m.in. materiał związany z planowaniem CBRN (zagrożenia chemiczne, biologiczne, radiologiczne, jądrowe). Dziennikarz Lars Winkelsdorf na X pisał o skali „państwowej”, o dokumentach LKA i planach obronnych. Osobno: dane osobowe urzędników, akty urodzenia, listy nieobecności, telefony, adresy domowe.
Rhysida wcześniej chwaliła się też umowami landu, dokumentami sądowymi i skanami dokumentów tożsamości. Senat przy konferencji 1 września potwierdził hasła, a reszty zakresu nie komentował „ze względów taktycznych”. Przy takim rozjeździe między marketingiem grupy a oficjalnym komunikatem robię to, co zwykle: biorę potwierdzone hasła i odcięcie home office jako fakt, a katalog „wszystkiego co na leak site” jako twierdzenie strony atakującej, dopóki niezależne źródła nie domkną listy.
Nie linkuję dumpów. Po pierwsze dezaktualizują się w godzinę. Po drugie nie po to prowadzę ten dziennik.
Double extortion bez romantyzmu
Model jest znany z LockBit i z dossier o ransomware: szyfrowanie opcjonalne, wyciek obowiązkowy, strona z countdownem, reputacja marki budowana na tym, że po terminie naprawdę wrzucają paczkę. Operacja Cronos pokazała, że da się wejść w infrastrukturę jednej marki. Nie zatrzymała rynku. Rhysida w 2026 nadal gra w tę samą grę, tylko na administracji landu, nie na kolejnym szpitalu w USA.
Odmowa okupu jest politycznie czytelna. W praktyce oznacza wybór: nie finansujesz grupy dzisiaj, a dane i tak wychodzą jutro. To nie zachęta do płacenia. To przypomnienie, że przed atakiem nie wolno trzymać plaintext haseł w Office i że segmentacja, backupy oraz uprawnienia nie mogą istnieć tylko w prezentacjach.
Berlin ogłosił zasadę przed końcem odliczania. Potem dostał publikację. Ta kolejność ma znaczenie. Szantażysta testuje, czy ofiara blefuje. Land powiedział wprost. Grupa zrealizowała groźbę. Następna ofiara Rhysidy czyta ten przebieg jak case study.
Plaintext i praca zdalna
Hasła w plikach biurowych to detal, który boli bardziej niż folder z nazwą CBRN w nagłówkach. Bo jest banalny. Nie wymaga zero-daya. Wymaga kogoś, kto kiedyś wrzucił listę dostępów do wspólnego dysku „na chwilę” i nigdy jej nie sprzątnął. Przy eksfiltracji taka lista wychodzi cała. Potem MFA i home office nic nie pomogą, jeśli sesje i aplikacje specjalistyczne wiszą na tych samych ciągach znaków.
Wyłączenie pracy zdalnej po wycieku haseł jest logiczne jako doraźna blokada. Nie naprawia przeszłości. Sprawdzenie 12 tysięcy systemów to skala, przy której tygodnie trwają dłużej niż komunikat prasowy. Senat mówił 1 września, że przestępcy mieli dostęp do dwóch wskazanych administracji, a główne domeny tych jednostek sprawdzono w stu procentach. Reszta landu: w toku. Wierzę w to na tyle, na ile wierzę w każdy komunikat w trakcie kryzysu: jako stan wiedzy na dany dzień, nie jako wyrok.
Co z tego dla czytelnika poza Berlinem
Jeśli pracujesz w urzędzie, spółce skarbu albo dużej firmie z panelami „specjalistycznymi”, ten case nie jest o Torze. Jest o tym, że double extortion sprzedaje wasze własne bałaganowe archiwa. Odmowa zapłaty jest decyzją polityczną i często słuszną. Nie zastępuje higieny haseł, segmentacji i tego, żeby skany dowodów i listy dostępów nie leżały obok siebie na jednym dysku sieciowym.
Dla rynku ransomware Berlin jest reklamą wiarygodności marki: countdown, publikacja, screenshoty. Dla obrony jest przypomnieniem, że po Cronosie i po upadkach kolejnych szyldów model nie zniknął. Zmieniły się nazwy. Mechanika została.
Nie będę tu oceniał, czy Senat „powinien był zapłacić”. Płatność i tak nie gwarantuje kasacji kopii. Interesuje mnie koszt drugiej strony wyboru: gdy mówisz nie, musisz mieć plan na to, że jutro w sieci leżą akty urodzenia urzędników i hasła z Excela. Berlin ten plan ogłasza w trakcie skanowania dwunastu tysięcy systemów. Zobaczymy, ile z tego zostanie w raportach za kwartał, a ile w wyciekach wtórnych, phishingu i SIM swapach na numery z listy.