Un gruppo ransomware conosciuto ha messo un prezzo su una città in bitcoin, ha visto l'asta fallire e ha trasformato i file rubati di Berlino in un download pubblico.

Il conto alla rovescia del riscatto in bitcoin di Rhysida contro Berlino è scaduto venerdì pomeriggio. Lo Stato aveva rifiutato una richiesta di 30 bitcoin e il gruppo ha quindi dichiarato di aver pubblicato i dati governativi rubati, disponibili per chiunque. I resoconti tedeschi collocano la fine del conto alla rovescia intorno alle 15:35 locali del 4 settembre 2026. L'offerta minima era stata fissata a circa 2 milioni di euro. La città aveva già dichiarato che non avrebbe pagato.

Questa è la strana meccanica delle moderne truffe crypto e delle infrastrutture criminali del dark web: la richiesta di pagamento è un indirizzo di wallet, la minaccia è un sito di leak e la "vendita" è un conto alla rovescia. Quando l'orologio si ferma senza pagamento, il teatro non finisce: si allarga.

Cosa ha pubblicato Rhysida dopo la chiusura dell'asta

Sul sito di leak del gruppo, l'annuncio dell'asta è passato a una dichiarazione di upload pubblico. heise e rbb hanno riportato la provocazione, che informava i "cacciatori di dati" che i file erano ormai nella sezione aperta.

Un primo link restituiva un errore. Circa un'ora dopo, i download sono diventati possibili, secondo l'aggiornamento di heise. rbb ha riferito che circa 1,4 milioni di file sono comparsi in più pacchetti. Le cartelle sembravano contenere registrazioni del personale, valutazioni dei dipendenti, referenze lavorative e materiali di gara d'appalto. La verifica dell'autenticità di ogni cartella era ancora incompleta nello stesso arco di tempo dei resoconti.

Il portavoce del Chaos Computer Club, Joachim Selzer, ha detto alla dpa che l'intero dataset sembrava consultabile online. Ha descritto tra il materiale questioni di personale e referenze lavorative, e ha avvertito che piccoli dettagli d'ufficio possono alimentare il furto d'identità una volta resi pubblici.

Il Senato di Berlino ha dichiarato che funzionari della sicurezza e team di forensica informatica stanno esaminando i pacchetti pubblicati. Le autorità hanno affermato che le persone identificate come interessate saranno notificate secondo le norme di legge e che i residenti che sospettassero un uso illecito dovrebbero presentare denuncia alla polizia. Tale obbligo di notifica è in linea con la legge europea sulla protezione dei dati, che richiede alle autorità di segnalare alle autorità di controllo le violazioni di dati personali e, quando il rischio per gli individui è elevato, di informare le persone interessate — obblighi che un dump pubblico di file del personale rende più difficili da rispettare, non più facili.

La richiesta di riscatto e il rifiuto di Berlino

Rhysida aveva presentato il bottino come quasi 5,8 terabyte sottratti dalla rete statale di Berlino. Precedenti rivendicazioni sul sito di leak, riassunte da heise e altri media tedeschi, elencavano contratti comunali, verbali di sanzioni, materiali di accesso, file del personale e documenti relativi a sistemi critici e tribunali. Quei cataloghi erano l'argomento di vendita del gruppo, non un inventario forense completo.

Il sindaco governatore Kai Wegner ha dichiarato che Berlino non si sarebbe lasciata ricattare. La portavoce del Senato Christine Richter aveva già detto alla dpa che i probabili passi successivi erano la rivendita o la pubblicazione parziale o totale. Lo Stato ha descritto Rhysida come un'organizzazione ransomware professionale con precedenti attacchi in Europa e negli Stati Uniti. I funzionari hanno affermato che legami con la Russia non possono essere esclusi — ma nemmeno dimostrati sulla base dei risultati disponibili.

La richiesta in bitcoin contava come infrastruttura, non come metafora culturale. Trenta monete erano la condizione per sbloccare i dati; il rifiuto era la linea politica. L'asta sul dark web era la camera di compressione tra questi due fatti.

Come si è sviluppata la violazione della rete di Berlino

Berlino ha reso noto l'attacco alla propria rete statale verso metà agosto. Gli inquirenti hanno poi stabilito che grandi volumi di dati erano stati sottratti tra il 7 e il 12 agosto. I sistemi colpiti sono stati isolati per giorni. Alla fine di agosto, l'asta di Rhysida e il prezzo minimo di 30 bitcoin erano pubblici, e la posizione contraria al pagamento del Senato era diventata un messaggio di governo anziché una posizione negoziale privata.

La procura di Berlino è coinvolta nella risposta, insieme alla polizia criminale di Stato (LKA) e all'Ufficio federale per la sicurezza informatica (BSI). Questo segue la consueta coreografia del ransomware: prima l'esfiltrazione, poi la crittografia o il danneggiamento come teatro, e infine un sito di leak che trasforma il segreto in un prodotto.

Rhysida non è un nome nuovo su quel palco. Il gruppo è emerso nel 2023 ed è stato collegato a precedenti obiettivi pubblici e culturali — tra cui l'attacco alla British Library che ha interrotto i servizi per settimane — e quest'anno ha colpito anche altre città tedesche. L'episodio di Berlino si inserisce nel modello dell'era degli affiliati: rubare abbastanza dati da impedire a un governo di assorbire in silenzio la perdita, fissare un prezzo per il silenzio in bitcoin e usare il dark web come mercato e gogna allo stesso tempo.

Perché il dump conta al di là di una rete comunale

I riscatti in bitcoin non pagati non cancellano i dati: cambiano chi può leggerli. Un'asta privata almeno fingeva di razionare l'accesso. Un dump pubblico abbassa l'asticella delle competenze, permettendo a chiunque con strumenti di base di copiare i pacchetti. Quei file potrebbero contenere firme, tracce di stipendi, comunicazioni interne, password in chiaro o note che la città non intendeva mai pubblicare.

L'avvertimento di Selzer era pratico: più uno sconosciuto sa di una persona, più diventa facile impersonarla, ordinare a suo nome o costruire un'esca di phishing che suona locale.

Per gli osservatori crypto, la sequenza è anche una storia di infrastrutture. La crypto non ha inventato l'estorsione: ha reso la richiesta portabile, senza confini e facile da pubblicare accanto a un conto alla rovescia. I siti di leak hanno poi trasformato il rifiuto in contenuti. La città ha mantenuto la sua linea; l'economia criminale parallela ha mantenuto il suo inventario.

Gli specialisti di sicurezza citati nella stampa tedesca hanno elogiato la posizione contraria al pagamento come modo per privare il modello estorsivo di ossigeno. Hanno però anche notato che il dump danneggia comunque persone i cui file non avrebbero mai dovuto lasciare la rete. Entrambe le affermazioni possono essere vere allo stesso tempo, e questa tensione è il punto centrale.

La vera storia sotto il conto alla rovescia

Le nuove tecnologie cambiano la superficie del crimine, mentre l'accordo di fondo resta antico: minacciare l'esposizione, fissare un prezzo e punire pubblicamente la sfida.

Il caso di Berlino ha ormai superato la metafora dell'asta. I file sono pronti per il download o vengono trattati come tali da inquirenti, giornalisti e chiunque altro stia osservando la stessa pagina di leak. Ciò che resta è un lavoro più lento: abbinare i pacchetti a persone reali, ruotare le credenziali, monitorare gli usi illeciti dell'identità e decidere quali segreti fossero teatro e quali munizioni vere.

La crypto non ha creato quel timore. Gli ha dato un indirizzo di wallet, una vetrina sul dark web e una scadenza di venerdì. Rhysida ha usato tutti e tre. Berlino ha rifiutato l'offerta, e il dump è avvenuto comunque.

L'articolo Rhysida pubblica i dati di Berlino dopo il riscatto di 30 BTC non pagato è apparso per la prima volta su Live Bitcoin News.