Una banda de ransomware identificada puso precio a una ciudad en bitcoins, vio fracasar la subasta y convirtió los archivos robados de Berlín en una descarga pública.

El conteo regresivo del rescate en bitcoins impuesto a Berlín por Rhysida expiró el viernes por la tarde. El estado había rechazado una exigencia de 30 bitcoins y la banda afirmó entonces haber publicado los datos gubernamentales robados para que cualquiera pudiera descargarlos. Los reportes alemanes sitúan el fin del conteo cerca de las 15:35 hora local del 4 de septiembre de 2026. La puja mínima se había fijado en torno a los 2 millones de euros. La ciudad ya había declarado que no pagaría.

Esa es la extraña mecánica de las estafas cripto modernas y los canales delictivos del dark web: la exigencia de pago es una dirección de billetera, la amenaza es un sitio de filtraciones y la "venta" es un conteo regresivo. Cuando el reloj se agota sin pago, el teatro no termina: se amplía.

Qué publicó Rhysida tras el cierre de la subasta

En el sitio de filtraciones del grupo, el anuncio de la subasta cambió a una afirmación de carga pública. heise y rbb reportaron la provocación, que avisaba a los "cazadores de datos" que los archivos ya estaban en la sección abierta.

Un enlace inicial arrojó un error. Alrededor de una hora después, las descargas fueron posibles, según la actualización de heise. rbb reportó que aproximadamente 1,4 millones de archivos aparecieron en varios paquetes. Las carpetas parecían contener registros de personal, evaluaciones de empleados, referencias laborales y material de licitaciones. La verificación de la autenticidad de cada carpeta seguía incompleta dentro de la misma ventana de reporte.

El portavoz del Chaos Computer Club, Joachim Selzer, dijo a dpa que el conjunto completo de datos parecía estar disponible para navegación. Describió asuntos de personal y referencias laborales entre el material, y advirtió que pequeños detalles de oficina pueden alimentar el robo de identidad una vez que quedan expuestos.

El Senado de Berlín indicó que funcionarios de seguridad y equipos forenses de TI estaban revisando los paquetes publicados. Los funcionarios dijeron que las personas identificadas como afectadas serían notificadas conforme a las normas legales, y que los residentes que sospecharan un uso indebido debían presentar una denuncia policial. Ese deber de notificación se alinea con la ley europea de protección de datos, que exige a las autoridades reportar las brechas de datos personales a los supervisores y, cuando el riesgo para las personas es alto, informar a los afectados, obligaciones que una filtración pública de archivos de personal vuelve más difíciles de cumplir, no más fáciles.

La exigencia de rescate y la negativa de Berlín

Rhysida había promocionado el botín como casi 5,8 terabytes extraídos de la red estatal de Berlín. Afirmaciones previas en su sitio de filtraciones, resumidas por heise y otros medios alemanes, incluían contratos municipales, casos de multas, material de acceso, archivos de personal y documentos que tocaban sistemas críticos y tribunales. Esos catálogos eran el discurso de ventas del grupo, no un inventario forense terminado.

El alcalde gobernante Kai Wegner dijo que Berlín no se dejaría chantajear. La portavoz del Senado Christine Richter ya había dicho a dpa que los probables pasos siguientes eran la reventa o la publicación parcial o total. El estado describió a Rhysida como una organización profesional de ransomware con ataques previos en Europa y Estados Unidos. Los funcionarios señalaron que no podían descartarse vínculos con Rusia, aunque tampoco podían probarse con los hallazgos disponibles.

La exigencia en bitcoins importaba como infraestructura, no como metáfora cultural. Treinta monedas eran la condición de desbloqueo; la negativa era la política. La subasta en el dark web fue la cámara de presión entre esos dos hechos.

Cómo se desarrolló la brecha en la red de Berlín

Berlín divulgó el ataque a su red estatal hacia mediados de agosto. Los investigadores señalaron luego que grandes volúmenes de datos fueron extraídos entre el 7 y el 12 de agosto. Los sistemas afectados quedaron desconectados durante días. Para fines de agosto, la subasta de Rhysida y el piso de 30 bitcoins ya eran públicos, y la postura de no pago del Senado se había convertido en un mensaje de gobierno y no en una posición de negociación privada.

La fiscalía de Berlín participa en la respuesta, junto con la policía criminal estatal (LKA) y la Oficina Federal de Seguridad de la Información (BSI). Esto sigue la coreografía habitual del ransomware: primero la exfiltración, el cifrado o la disrupción como teatro, y luego un sitio de filtraciones que convierte el secreto en producto.

Rhysida no es un nombre nuevo en ese escenario. La banda surgió en 2023 y ha sido vinculada a anteriores objetivos del sector público y culturales, incluida la interrupción de la British Library que afectó servicios durante semanas, y este año también atacó a otras ciudades alemanas. El episodio de Berlín encaja en el modelo de la era de los afiliados: robar lo suficiente para que un gobierno no pueda absorber la pérdida en silencio, ponerle precio al silencio en bitcoins y usar el dark web como mercado y picota a la vez.

Por qué la filtración importa más allá de una red municipal

Los rescates en bitcoins no pagados no borran los datos; cambian quién puede leerlos. Una subasta privada al menos fingía racionar el acceso. Una publicación pública reduce la barrera técnica, permitiendo que cualquiera con herramientas básicas copie los paquetes. Esos archivos pueden contener firmas, rastros de nómina, correo interno, contraseñas en texto claro o notas que la ciudad nunca tuvo intención de publicar.

La advertencia de Selzer fue práctica: cuanto más sabe un extraño sobre una persona, más fácil resulta suplantarla, ordenar en su nombre o crear un señuelo de phishing que suene local.

Para los observadores cripto, la secuencia también es una historia sobre infraestructura. La cripto no inventó la extorsión: hizo que la exigencia fuera portátil, sin fronteras y fácil de publicar junto a un conteo regresivo. Los sitios de filtraciones convirtieron luego la negativa en contenido. La ciudad mantuvo su política; la economía criminal paralela conservó su inventario.

Los especialistas en seguridad citados en la cobertura alemana elogiaron la postura de no pagar como forma de asfixiar el modelo de extorsión. También señalaron que la filtración sigue dañando a personas cuyos archivos nunca debieron salir de la red. Ambas afirmaciones pueden ser ciertas a la vez, y esa tensión es el punto.

La verdadera historia bajo el conteo regresivo

La nueva tecnología cambia la superficie del delito, pero el pacto de fondo sigue siendo antiguo: amenazar con exponer, fijar un precio y castigar la desafiación en público.

El caso de Berlín ya superó la metáfora de la subasta. Los archivos están listos para descargar, o así lo tratan los investigadores, periodistas y cualquier otro que observe la misma página de filtraciones. Lo que queda es un trabajo más lento: vincular paquetes con personas reales, rotar credenciales, vigilar el uso indebido de identidades y decidir qué secretos eran teatro y cuáles munición real.

La cripto no creó ese temor. Le dio una dirección de billetera, una tienda en el dark web y un plazo de viernes. Rhysida usó las tres cosas. Berlín rechazó la puja y la filtración ocurrió de todos modos.

El artículo Rhysida Dumps Berlin Data After Unpaid 30 BTC Ransom apareció primero en Live Bitcoin News.