El gobierno de Berlín sufrió un ataque cibernético y un intento de extorsión, resultando en la filtración de terabytes de datos, aunque las autoridades se niegan a pagar el rescate. Paralelamente, el grupo Manchester Airports Group confirmó el robo de datos personales de millones de clientes en sus servicios de estacionamiento y WiFi. Ambos casos están bajo investigación y se recomienda precaución ante posibles fraudes.





El gobierno estatal de Berlín ha confirmado que es blanco de un intento de extorsión tras el compromiso en agosto de la red administrativa estatal de la ciudad, y ha declarado que no cumplirá las demandas de los extorsionadores.

La misma declaración reveló que el trabajo forense encontró más fugas de datos en la cartera del Departamento del Senado para la Movilidad, el Transporte, la Protección del Clima y el Medio Ambiente, con la exfiltración fechada entre el 7 y el 12 de agosto de 2026.

El alcance y el contenido aún se están examinando, y la Cancillería del Senado señaló que no se puede excluir que se hayan llevado datos personales u otros datos no públicos.

El departamento informó primero de una fuga el 7 de agosto, dijo la Cancillería del Senado en respuesta a preguntas, siete días antes de que fuera desconectado de la red el 14 de agosto.

Berlín no ha publicado ninguna cifra sobre cuánta información salió de la red. El único recuento detallado en circulación es el de los propios atacantes, una publicación en un sitio de filtraciones indexada el 28 de agosto que afirma que hay 5,79 terabytes de datos e información personal de 12.076 personas.

Los dos comunicados del Senado sobre el incidente no incluían ninguna guía para las personas cuyos registros podrían estar entre los datos hasta el 29 de agosto.

"El estado de Berlín está siendo chantajeado", dijo el alcalde gobernante Kai Wegner tras una sesión especial del Senado en el Rotes Rathaus, citado en la versión inglesa traducida por máquina del portal oficial de la ciudad de Berlín aquí.

La declaración de la Cancillería del Senado aquí indicó que la policía criminal estatal, el fiscal público y las autoridades de seguridad federal están investigando a los presuntos autores y no han identificado a ningún grupo detrás del ataque.

Der Spiegel ha nombrado a Rhysida como el grupo que informó primero de la atribución el 28 de agosto, citando una entrada en el sitio de filtraciones de la darknet del grupo y fuentes de seguridad implicadas en la respuesta. Se confirmó a través de un servicio de monitoreo de sitios de filtraciones aquí el 29 de agosto que el 28 de agosto se añadió una entrada titulada "Berlin, Germany" al sitio de filtraciones de Rhysida.

La publicación afirma haber escaneado 5,79 terabytes de datos y alrededor de 1,44 millones de archivos, e identifica a la víctima solo como Berlín, Alemania, en lugar del Senado o cualquier departamento. No apareció ninguna cifra de rescate en la entrada, y sus once categorías de archivos, la más grande de las cuales son 124.823 mapas y archivos de geodatos, representan juntas aproximadamente una cuarta parte del recuento total de archivos reclamados.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA), la Oficina Federal de Investigación (FBI) y el Centro de Análisis y Compartición de Información Multiestatal (MS-ISAC) detallaron las tácticas del grupo en un aviso conjunto sobre Rhysida aquí, que documenta las siguientes rutas de acceso inicial:

* Cuentas válidas en servicios remotos externos, donde los actores se autentican en puntos de acceso a la red privada virtual (VPN) interna con credenciales válidas comprometidas, especialmente en organizaciones que no tienen habilitada la autenticación de múltiples factores (MFA) por defecto.
* Zerologon (CVE-2020-1472), una vulnerabilidad de elevación de privilegios en el Protocolo Remoto Netlogon de Microsoft que Microsoft parcheó el 11 de agosto de 2020.
* Phishing, que las agencias registran como una ruta exitosa hacia las redes de las víctimas.

El aviso data de noviembre de 2023, cuando las agencias advirtieron por primera vez de los ataques de doble extorsión de Rhysida. Registra que el "FBI y la CISA no recomiendan pagar el rescate" porque el pago no garantiza la recuperación y puede animar a los adversarios a atacar a más organizaciones.

Las agencias recomiendan priorizar la remediación de vulnerabilidades explotadas conocidas, habilitar la autenticación de múltiples factores en todos los servicios y segmentar las redes para evitar que el ransomware se propague.

El mismo documento señala informes de fuentes abiertas sobre similitudes entre Vice Society, a quien Microsoft rastrea como Storm-0832, y los actores que despliegan Rhysida, un solapamiento con Vice Society que Check Point detalló en 2023.

El servicio de monitoreo enumeró 280 víctimas de Rhysida hasta el 29 de agosto, nueve de ellas en Alemania, incluyendo la administración de la ciudad de Stuttgart en mayo de 2026 y la organización de ayuda Welthungerhilfe en junio de 2025. Sus listados también incluyen el Puerto de Seattle, que opera el Aeropuerto Internacional de Seattle-Tacoma, indexado en septiembre de 2024.

La Cancillería del Senado dijo que el comisionado estatal de protección de datos de Berlín y la Oficina Federal de Seguridad de la Información (BSI) están siendo informados continuamente. No se encontró ninguna declaración sobre el incidente por parte del Comisionado de Berlín para la Protección de Datos y la Libertad de Información hasta el 29 de agosto.

La senadora del Interior Iris Spranger dijo que, tal como están las cosas, ningún dato salió de las áreas relevantes para la realización de las elecciones del Abgeordnetenhaus del 20 de septiembre, y que sus oficiales de seguridad consideran que el entorno electoral es seguro.

Berlín reveló primero el incidente aquí el 17 de agosto, diciendo que el trabajo forense había establecido un compromiso de la red estatal y que ambos departamentos afectados habían sido aislados desde el viernes anterior.

En una conferencia de prensa el 19 de agosto aquí, Wegner dijo que el incidente fue y sigue siendo grave, y enfatizó que, basándose en el conocimiento actual, no habían salido datos sensibles de la red estatal.

Las solicitudes y pagos de beneficios de vivienda no estuvieron disponibles mientras los dos departamentos estuvieron fuera de la red. Todos los departamentos del Senado fueron reconectados el 23 de agosto aquí, y el trabajo forense y el escaneo de la red estatal continúan.

Manchester airports group confirma robo de datos de clientes

Manchester Airports Group (MAG), que opera los aeropuertos de Manchester, Londres Stansted y East Midlands, dijo el 27 de agosto que un tercero no autorizado obtuvo datos de clientes relacionados con reservas de aparcamientos, salas VIP y Fast Track, así como registros de WiFi en los tres sitios.

"En ningún momento se ha comprometido la seguridad de los pasajeros o la seguridad de la aviación", dijo un portavoz de MAG en la declaración publicada por la empresa aquí, añadiendo que las operaciones aeroportuarias y los servicios de estacionamiento para clientes continúan operando normalmente.

Los datos obtenidos incluyen direcciones de correo electrónico, números de teléfono, matriculaciones de vehículos y códigos postales, y MAG dijo que ni ellos ni el sistema accedido poseen detalles bancarios o de pago de los clientes. La declaración de MAG lo describe solo como un sistema distinto de MAG misma.

La página de información al cliente de MAG aquí establece que el incidente "no involucra sistemas operativos del aeropuerto" y aconseja a los pasajeros que continúen viajando al aeropuerto como de costumbre.

Hasta el 29 de agosto, el acceso al servicio en línea "Manage My Booking" ha sido suspendido como medida de precaución. Los cambios en las reservas previstas para las próximas 72 horas serán gestionados por el servicio de atención al cliente en el 0208 163 8001, los días laborables entre las 9:00 y las 17:00.

Ha circulado ampliamente una cifra de aproximadamente 8,7 millones de clientes afectados, proveniente de un portavoz de la empresa que habló con la prensa, aunque los materiales propios de MAG dejan el recuento sin declarar.

MAG dijo que se ha puesto en contacto con los clientes afectados directamente y los ha remitido a la guía de brechas de datos del Centro Nacional de Ciberseguridad del Reino Unido (NCSC), aconsejándoles que estén alerta ante correos electrónicos, mensajes de texto y llamadas telefónicas sospechosas.

Fuente:
THN