Rhysida golpea al gobierno de Berlín: 5,79 TB robados y la ciudad se niega a pagar
Berlín bajo extorsión: uno de los mayores golpes de ransomware a un gobierno europeo en 2026
El gobierno del estado de Berlín confirmó el 28 de agosto de 2026 que es víctima de un ataque de ransomware que comprometió su red administrativa y derivó en un intento de extorsión. La respuesta de las autoridades fue inequívoca: Berlín no pagará. "El estado de Berlín no se someterá a la extorsión", declararon en un comunicado conjunto el alcalde Kai Wegner y la senadora del Interior, Iris Spranger.
Detrás del ataque está el grupo Rhysida, una operación de ransomware que apareció en junio de 2023 y que, según plataformas de rastreo de cibercrimen, acumula cerca de 280 víctimas en todo el mundo. Investigadores citados por medios alemanes como Der Spiegel atribuyeron el incidente a Rhysida, aunque la Cancillería del Senado berlinés todavía no ha confirmado públicamente al actor.
Qué se robaron: 5,79 TB y 46.500 contratos
El análisis forense rastreó la salida de datos del área de la Secretaría de Movilidad, Transporte, Protección del Clima y Medio Ambiente del Senado berlinés, entre el 7 y el 12 de agosto de 2026. Según la publicación del propio grupo en su sitio de filtraciones en la darknet, el botín asciende a 5,79 terabytes de información.
- 46.500 contratos con proveedores y terceros.
- 124.823 archivos de mapas y geodatos, la categoría más voluminosa del conjunto.
- Correos electrónicos, números de teléfono, contraseñas e información clasificada.
Rhysida fijó un precio de salida para la subasta de los datos de 30 bitcoins (unos 77.600 dólares al momento del anuncio), con un cronómetro de poco menos de siete días en su portal. La Cancillería del Senado advirtió que no se puede descartar que entre lo sustraído haya datos personales o no públicos, y que el alcance completo aún se está examinando. Las autoridades sí precisaron que la infraestructura electoral no se vio afectada y que no se comprometieron datos vinculados a comicios.
Cómo opera Rhysida: doble extorsión y Zerologon
Rhysida es una operación de doble extorsión: primero roba los datos y luego cifra los sistemas de la víctima, publicándola en un sitio de filtraciones para presionar el pago. Si la organización se niega —como Berlín—, el grupo amenaza con vender o divulgar la información.
El aviso conjunto de CISA, FBI y MS-ISAC que documenta las tácticas del grupo señala solapamientos entre los operadores de Rhysida y Vice Society, que Microsoft rastrea como Storm-0832. En su cadena de ataque, Rhysida ha explotado CVE-2020-1472 (Zerologon), una falla de escalada de privilegios en el protocolo Netlogon de Microsoft que, sobre un controlador de dominio sin parchear, permite a un atacante pasar de un punto de apoyo inicial al control total del directorio (dominio).
Por qué importa en Chile y América Latina
Rhysida no es un nombre lejano para la región: el grupo ya reivindicó un ataque contra el Ejército de Chile, además de escuelas, centros de salud y empresas de todos los tamaños. Su patrón de apuntar a instituciones gubernamentales —desde la British Library en 2023 hasta administraciones municipales alemanas— muestra que el sector público sigue siendo un blanco prioritario.
El caso de Berlín deja lecciones que trascienden fronteras. Las redes públicas concentran contratos, correspondencia y datos de proveedores privados: cuando caen, exponen también a las empresas que trabajan con ellas. Y la decisión de no pagar, aunque éticamente sólida y recomendada por la mayoría de las agencias, no elimina el riesgo de filtración.
Recomendaciones para defensores
- Parchear Zerologon (CVE-2020-1472) y auditar controladores de dominio: es un vector recurrente en la cadena de Rhysida.
- Activar autenticación multifactor (MFA) por defecto: sin ella, un usuario y contraseña robados bastan para simular una sesión legítima de trabajador remoto en los registros de la VPN.
- Desplegar EDR afinado para detectar volcado de credenciales contra LSASS y ejecución de PowerShell remoto o codificado.
- Mantener copias de seguridad offline y probadas, y un plan de respuesta que contemple el escenario de doble extorsión.
- Segmentar la red para que el compromiso de un endpoint no derive en control de todo el dominio.