Een bij naam genoemde ransomwarebende zette een prijs op een stad in bitcoin, zag de veiling mislukken en maakte van Berlijns gestolen bestanden een openbare download.

De Rhysida-bitcoin-losgeldcountdown voor Berlijn verliep vrijdagmiddag. De deelstaat had een eis van 30 bitcoin afgewezen, waarna de bende beweerde gestolen overheidsgegevens voor iedereen beschikbaar te stellen. Volgens Duitse berichtgeving eindigde de countdown rond 15:35 lokale tijd op 4 september 2026. Het minimumpod was begroot op ongeveer €2 miljoen. De stad had al verklaard niet te zullen betalen.

Dat is de vreemde mechanismiek van moderne crypto-oplichting en criminaliteitsroutes op het dark web: de betaaleis is een walletadres, de dreigementen een leksite en de "verkoop" een countdown. Als de klok onbetaald afloopt, eindigt het schouwspel niet — het wordt groter.

Wat Rhysida publiceerde nadat de veiling was gesloten

Op de leksite van de groep veranderde de veilingadvertentie in een bewering van openbare upload. heise en rbb berichtten over de spot, die "datajagers" meedeelde dat de bestanden nu in het openbare gedeelte stonden.

Een eerste link gaf een foutmelding. Ongeveer een uur later werden downloads mogelijk, volgens een update van heise. rbb berichtte dat er circa 1,4 miljoen bestanden in meerdere pakketten verschenen. Mappen leken persoonsdossiers, personeelsbeoordelingen, arbeidsverklaringen en aanbestedingsmateriaal te bevatten. Verificatie van de authenticiteit van elke map was binnen dezelfde verslaggevingsperiode nog niet voltooid.

Chaos Computer Club-woordvoerder Joachim Selzer zei tegen dpa dat de volledige dataset live leek te zijn door te bladeren. Hij noemde personeelszaken en arbeidsverklaringen onder het materiaal en waarschuwde dat kleine kantoordetails identiteitsdiefstal kunnen voeden zodra ze openbaar liggen.

De Senaat van Berlijn zei dat veiligheidsfunctionarissen en IT-forensische teams de gepubliceerde pakketten onderzochten. Ambtenaren zeiden dat personen die als getroffen werden geïdentificeerd volgens de wettelijke regels op de hoogte zouden worden gebracht, en dat bewoners die misbruik vermoedden aangifte bij de politie moesten doen. Die meldingsplicht sluit aan bij de Europese privacywetgeving, die autoriteiten verplicht datalekken met persoonsgegevens aan toezichthouders te melden en, bij hoog risico voor individuen, de betrokkenen te informeren — verplichtingen die een openbare dump van personeelsdossiers juist moeilijker maakt om na te komen.

De losgeldeis en de weigering van Berlijn

Rhysida had de buit aangeprezen als bijna 5,8 terabyte, afkomstig uit het staatsnetwerk van Berlijn. Eerdere claims op de leksite, samengevat door heise en andere Duitse media, vermeldden stadscontracten, boetezaken, inloggegevens, personeelsdossiers en stukken die kritieke systemen en rechtbanken raakten. Die catalogussen waren de verkooppraat van de groep, geen voltooid forensisch inventaris.

Regerend burgemeester Kai Wegner zei dat Berlijn niet gechanteerd zou worden. Senaatswoordvoerster Christine Richter had dpa al meegedeeld dat de waarschijnlijke volgende stappen herverkoop of gedeeltelijke of volledige publicatie waren. De deelstaat omschreef Rhysida als een professionele ransomwareorganisatie met eerdere treffers in Europa en de Verenigde Staten. Ambtenaren zeiden dat Russische banden niet konden worden uitgesloten — maar ook niet konden worden bewezen op basis van de beschikbare bevindingen.

De bitcoin-eis deed er ter zake als infrastructuur, niet als culturele metafoor. Dertig munten waren de ontgrendelingsvoorwaarde; weigering was het beleid. De dark-webveiling was de drukkamer tussen die twee feiten.

Hoe de inbraak op het Berlijnse netwerk verliep

Berlijn maakte de aanval op zijn staatsnetwerk rond midden augustus bekend. Onderzoekers zeiden later dat grote hoeveelheden gegevens tussen 7 en 12 augustus waren gestolen. Getroffen systemen werden dagenlang afgesloten. Eind augustus waren Rhysida's veiling en de vloer van 30 bitcoin openbaar, en was de niet-betaalhouding van de Senaat een bestuurlijke boodschap geworden in plaats van een onderhandelingspositie.

Het openbaar ministerie van Berlijn is betrokken bij de respons, evenals de Landes-kriminalamt (LKA) en het Bundesamt für Sicherheit in der Informationstechnik (BSI). Dit volgt het vertrouwde ransomware-choreografie: eerst exfiltratie, encryptie of verstoring als schouwspel, en vervolgens een leksite die geheimhouding tot product maakt.

Rhysida is geen nieuwe naam op dat podium. De bende dook in 2023 op en is gekoppeld aan eerdere doelwitten in de publieke sector en culturele sector — waaronder de storing bij de British Library die wekenlang diensten verstoorden — en trof dit jaar ook andere Duitse steden. Het Berlijnse voorval past in het affiliate-tijdperkmodel: steel zoveel dat een overheid het verlies niet stilzwijgend kan absorberen, prijs de stilte in bitcoin en gebruik het dark web als zowel marktplaats als schandpaal.

Waarom de dump verder reikt dan één stadsnetwerk

Onbetaalde bitcoin-losgelden wissen gegevens niet uit; ze veranderen wie ze kan lezen. Een privéveiling deed ten minste alsof toegang werd gerantsoeneerd. Een openbare dump verlaagt de drempel, zodat iedereen met basale tools de pakketten kan kopiëren. Die bestanden kunnen handtekeningen, salarissporen, interne mail, wachtwoorden in leesbare tekst of notities bevatten die de stad nooit had willen publiceren.

Selzers waarschuwing was praktisch: hoe meer een vreemde over iemand weet, hoe gemakkelijker het wordt om zich als die persoon voor te doen, in diens naam te bestellen of een phishinglokaal te schrijven dat lokaal klinkt.

Voor crypto-waarnemers is de volgorde ook een verhaal over rails. Crypto heeft afpersing niet uitgevonden — het maakte de eis draagbaar, grenzeloos en gemakkelijk naast een countdown te plaatsen. Leksites veranderden weigering vervolgens in content. De stad hield vast aan haar beleid; de parallelle criminale economie hield haar voorraad.

Veiligheidsspecialisten in de Duitse berichtgeving prezen de niet-betaalhouding als manier om het afpersingsmodel uit te hongeren. Zij merkten ook op dat de dump nog steeds mensen schaadt van wie de bestanden het netwerk nooit hadden mogen verlaten. Beide uitspraken kunnen tegelijk waar zijn, en die spanning is het punt.

Het echte verhaal onder de countdown

Nieuwe technologie verandert het oppervlak van misdaad, terwijl het onderliggende akkoord oud blijft: dreig met onthulling, noem een prijs en straf ongehoorzaamheid publiekelijk.

De Berlijnse zaak is inmiddels voorbij de veilingmetafoor. De bestanden zijn ofwel klaar om te downloaden, of worden zo behandeld door onderzoekers, journalisten en anderen die dezelfde lekpagina volgen. Wat resteert is langzamer werk: pakketten aan echte personen koppelen, inloggegevens roteren, opletten voor identiteitsmisbruik en bepalen welke geheimen schijn waren en welke scherpe munitie.

Crypto schiep die angst niet. Het gaf hem een walletadres, een dark-webwinkel en een vrijdagdeadline. Rhysida gebruikte alle drie. Berlijn sloeg het bod af, en de dump volgde evengoed.

Het bericht Rhysida Dumps Berlin Data After Unpaid 30 BTC Ransom verscheen eerst op Live Bitcoin News.