Nazwana grupa ransomware wystawiła miastu cenę w bitcoinach, obserwowała upadek aukcji, a następnie zamieniła skradzione pliki Berlina w publiczny do pobrania.

Odliczanie okupu Rhysidy od Berlina wygasło w piątkowe popołudnie. Władze kraju związkowego odrzuciły żądanie 30 bitcoinów, po czym grupa ogłosiła publikację skradzionych danych rządowych dostępnych dla każdego. Zgodnie z niemieckimi doniesieniami odliczanie zakończyło się około godziny 15:35 czasu lokalnego 4 września 2026 r. Minimalna oferta była przedstawiana jako równowartość około 2 milionów euro. Miasto już wcześniej zadeklarowało, że nie zapłaci.

Tak wygląda dziwna mechanika współczesnych oszustw krypto i szyn przestępczości darkwebowej: żądanie zapłaty to adres portfela, groźba to strona wyciekowa, a „sprzedaż” to odliczanie. Gdy zegar wybija bez zapłaty, teatr się nie kończy — się rozszerza.

Co Rhysida opublikowała po zakończeniu aukcji

Na stronie wyciekowej grupy ogłoszenie aukcyjne zamieniło się w deklarację publicznej publikacji. heise i rbb odnotowały szyderczą wiadomość informującą „łowców danych”, że pliki trafiły do sekcji otwartej.

Wczesny link zwracał błąd. Około godzinę później pobieranie stało się możliwe, zgodnie z aktualizacją heise. rbb podał, że w wielu pakietach pojawiło się około 1,4 miliona plików. Foldery wyglądały na zawierające akta personalne, oceny pracowników, referencje zawodowe i materiały przetargowe. Weryfikacja autentyczności każdego folderu w tym samym oknie czasowym wciąż była niekompletna.

Rzecznik Chaos Computer Club Joachim Selzer powiedział agencji dpa, że pełny zbiór danych był dostępny do przeglądania. Wśród materiałów wskazał sprawy personalne i referencje zawodowe, ostrzegając, że drobne szczegóły biurowe mogą napędzać kradzież tożsamości, gdy trafią do publicznego obiegu.

Senat Berlina poinformował, że urzędnicy ds. bezpieczeństwa i zespoły informatyki śledczej analizują opublikowane pakiety. Urzędnicy zaznaczyli, że osoby uznane za poszkodowane zostaną powiadomione zgodnie z przepisami prawa, a mieszkańcy podejrzewający nadużycie danych powinni złożyć zawiadomienie na policję. Ten obowiązek powiadamiania wynika z europejskiego prawa ochrony danych, które wymaga od organów zgłaszania naruszeń danych osobowych organom nadzorczym, a przy wysokim ryzyku dla osób — informowania zainteresowanych; publiczna publikacja akt personalnych czyni te obowiązki trudniejszymi do spełnienia, a nie łatwiejszymi.

Żądanie okupu i odmowa Berlina

Rhysida przedstawiała łup jako blisko 5,8 terabajta danych z sieci administracyjnej Berlina. Wcześniejsze ogłoszenia na stronie wyciekowej, streszczone przez heise i inne niemieckie media, wymieniały umowy miejskie, sprawy grzywne, materiały logowania, akta personalne oraz dokumenty dotyczące systemów krytycznych i sądów. Te katalogi były ofertą handlową grupy, a nie kompletnym inwentarzem śledczym.

Governing Mayor (burmistrz zarządzający) Kai Wegner oświadczył, że Berlin nie da się szantażować. Rzeczniczka senatu Christine Richter już wcześniej powiedziała agencji dpa, że prawdopodobne następne kroki to odsprzedaż lub publikacja częściowa bądź pełna. Władze określiły Rhysidę jako profesjonalną grupę ransomware z wcześniejszymi atakami w Europie i Stanach Zjednoczonych. Urzędnicy stwierdzili, że powiązań z Rosją nie można wykluczyć — ale również nie da się ich udowodnić na podstawie dostępnych ustaleń.

Żądanie w bitcoinach miało znaczenie jako infrastruktura, nie metafora kulturowa. Trzydzieści monet było warunkiem odblokowania; odmowa była polityką. Aukcja na dark webie była komorą ciśnień między tymi dwoma faktami.

Jak przebiegł atak na sieć Berlina

Berlin ujawnił atak na sieć administracji kraju związkowego około połowy sierpnia. Śledczy ustalili później, że duże ilości danych wykradziono między 7 a 12 sierpnia. Zaatakowane systemy odcięto na kilka dni. Pod koniec sierpnia aukcja Rhysidy i minimalna cena 30 bitcoinów stały się publicznie znane, a stanowisko senatu o odmowie zapłaty stało się przekazem rządowym, a nie prywatną pozycją negocjacyjną.

W reagowanie zaangażowana jest prokuratura Berlina, a także policja kryminalna kraju związkowego (LKA) i Federalny Urząd Bezpieczeństwa Informacyjnego (BSI). To znana choreografia ransomware: najpierw eksfiltracja, szyfrowanie lub zakłócenie działań jako teatr, a potem strona wyciekowa zamieniająca sekret w produkt.

Rhysida nie jest nową nazwą na tej scenie. Grupa pojawiła się w 2023 r. i była wcześniej wiązana z celami sektora publicznego i kultury — w tym z awarią British Library, która na tygodnie zakłóciła usługi — a w tym roku zaatakowała także inne niemieckie miasta. Epizod berliński wpisuje się w model ery afiliacji: ukraść tyle, by rząd nie mógł po cichu pochłonąć straty, wycenić ciszę w bitcoinach i użyć dark webu jednocześnie jako rynku i pręgierza.

Dlaczego publikacja danych wykracza poza jedną sieć miejską

Niezapłacone okupy w bitcoinach nie usuwają danych; zmieniają to, kto może je czytać. Prywatna aukcja przynajmniej udawała racjonowanie dostępu. Publiczna publikacja obniża próg umiejętności — każdy z podstawowymi narzędziami może skopiować pakiety. Te pliki mogą zawierać podpisy, ślady płacowe, wewnętrzną korespondencję, hasła w jawnym tekście lub notatki, których miasto nigdy nie zamierzało publikować.

Ostrzeżenie Selzera było praktyczne: im więcej obcy wie o danej osobie, tym łatwiej ją personifikować, składać zamówienia w jej imieniu lub tworzyć przynętę phishingową brzmiącą lokalnie.

Dla obserwatorów rynku krypto ta sekwencja jest także opowieścią o szynach transakcyjnych. Krypto nie wynalazło szantażu — uczyniło żądanie przenośnym, pozbawionym granic i łatwym do opublikowania obok odliczania. Strony wyciekowe zamieniły następnie odmowę w treść. Miasto utrzymało swoje stanowisko; równoległa gospodarka przestępcza zachowała swój inwentarz.

Specjaliści ds. bezpieczeństwa cytowani w niemieckich mediach chwalili odmowę zapłaty jako sposób odebrania modelowi paliwa. Zaznaczyli jednak, że publikacja danych nadal szkodzi osobom, których pliki nigdy nie miały opuścić sieci. Oba zdania mogą być prawdziwe jednocześnie — i to napięcie jest sednem sprawy.

Prawdziwa historia pod odliczaniem

Nowa technologia zmienia powierzchnię przestępczości, ale zasadniczy układ pozostaje stary: zagrozić ujawnieniem, nazwać cenę i publicznie ukarać opór.

Sprawa Berlina przekroczyła już metaforę aukcji. Pliki są gotowe do pobrania lub są tak traktowane przez śledczych, dziennikarzy i każdego, kto obserwuje tę samą stronę wyciekową. Pozostaje wolniejsza praca: dopasowanie pakietów do konkretnych osób, rotacja poświadczeń, monitorowanie nadużyć tożsamości oraz ustalenie, które sekrety były teatrem, a które amunicją na żywo.

Krypto nie stworzyło tego lęku. Dało mu adres portfela, sklep na dark webie i piątkowy termin. Rhysida skorzystała ze wszystkich trzech. Berlin odrzucił ofertę — a publikacja danych nastąpiła mimo wszystko.

Wpis Rhysida Dumps Berlin Data After Unpaid 30 BTC Ransom pojawił się najpierw w serwisie Live Bitcoin News.