Il hack a Berlino trapela 1,44 milioni di file, mescolando dati personali con possibili informazioni infrastrutturali
Circa 1,44 milioni di file per un totale di 5,8 TB sono stati pubblicati sul Darknet dopo una violazione dell'amministrazione di Berlino. Il dump contiene passaporti scansionati, contratti di lavoro e, secondo i resoconti dei media, dati sull'approvvigionamento idrico e altre risorse di infrastruttura critica.
Circa 1,44 milioni di file, circa 5,8 terabyte di dati, sono stati caricati sul Darknet dopo che una violazione dell'amministrazione di Berlino è stata resa pubblica il 17 agosto 2026. Il dump mescola documenti personali come passaporti scansionati e contratti di lavoro con materiale che gli analisti dei media affermano possa includere dettagli sull'approvvigionamento idrico della città, sugli impianti di riscaldamento e su altre risorse di infrastruttura critica.
Entità della fuga
Il quotidiano economico tedesco Handelsblatt ha confermato che "seit Freitag sind rund 1,44 Millionen Dateien mit einem Umfang von 5,8 Terabyte im Darknet veröffentlicht" (dal venerdì, inizio agosto 2026, circa 1,44 milioni di file per un volume di 5,8 TB sono stati pubblicati sul Darknet). La stessa fonte ha descritto l'incidente come un "Daten‑Super‑GAU", un super‑disastro di dati di "gravierendem Ausmaß" (grave entità).
| Metrica | Valore | Periodo | Fonte |
|---|---|---|---|
| File trapelati | 1.44 million files | dall'inizio di agosto 2026 | Handelsblatt |
| Volume dati | 5.8 TB | dall'inizio di agosto 2026 | Handelsblatt |
| Richiesta di riscatto | 30 Bitcoin (~2 million €) | agosto 2026 | Handelsblatt |
Contenuto del dump
Secondo lo stesso rapporto di Handelsblatt, la prima ondata di file sembra essere dominata da dati personali: passaporti scansionati, contratti di lavoro, domande di impiego e certificati medici. Questi documenti sono chiaramente identificabili come appartenenti a cittadini individuali e dipendenti del settore pubblico.
Altri media tedeschi, in particolare Tagesspiegel, hanno aggiunto che il dump "sollten sich darunter zudem Daten zu Heizkraftwerken, Tanklagern, Notstromanlagen, Umspannwerken, Gefängnissen, Wasserwerken sowie Rüstungsunternehmen und der Bundeswehr befinden" (i file contengono anche dati su impianti di riscaldamento, serbatoi di carburante, unità di emergenza, sottostazioni, carceri, opere idriche, nonché aziende della difesa e la Bundeswehr). Sebbene l'esatta portata di tali elementi non possa essere verificata dai file disponibili pubblicamente, la rivendicazione è riportata dal giornale e quindi può essere attribuita ad esso.
Gli esperti di sicurezza citati nell'articolo di Handelsblatt avvertono che il dump potrebbe includere "hoch‑sensible Daten" (dati ad alta sensibilità) collegati a enti di protezione civile e difesa. Gli esperti non elencano le categorie specifiche di infrastruttura, ma segnalano il potenziale impatto più ampio oltre la privacy personale.
Cronologia e risposta
La violazione si è sviluppata in una finestra di dieci giorni. Il gruppo di hacker identificato come Rhysida ha avuto accesso a parti della rete del Senato di Berlino tra il 7 agosto e il 12 agosto 2026 senza essere rilevato. Il team di sicurezza IT di Berlino ha scoperto l'intrusione il 14 agosto, e l'amministrazione ha annunciato la violazione tre giorni dopo, il 17 agosto, quando i file rubati hanno iniziato a comparire sul Darknet.
Le agenzie federali di sicurezza, tra cui il BSI, hanno emesso avvisi immediati a enti pubblici e imprese private sull'esposizione di dati personali. Il tempismo della fuga è significativo perché le elezioni statali di Berlino sono programmate due settimane dopo, sollevando preoccupazioni su possibili ripercussioni politiche.
Richiesta di riscatto e attribuzione
Rhysida ha richiesto un riscatto di 30 Bitcoin, che l'articolo di Handelsblatt traduce in circa due milioni di euro al momento dell'attacco. Il gruppo non ha indicato se il riscatto sia stato pagato, e i funzionari di Berlino non hanno divulgato dettagli sulle negoziazioni.
Pur essendo una cifra concreta, le motivazioni alla base della fuga rimangono poco chiare. Gli aggressori non hanno rivendicato pubblicamente un'agenda politica, e la diffusione dei dati sembra essere una tattica di pressione per ottenere il pagamento.
Domande aperte e prossimi passi
- Quanti dei file presumibilmente relativi all'infrastruttura sono autentici e sfruttabili da attori maligni?
- Quali misure di rimedio adotterà l'amministrazione di Berlino per mettere in sicurezza i sistemi interessati e prevenire ulteriori perdite di dati?
- Le autorità federali intraprenderanno azioni legali contro il gruppo Rhysida, e quali risorse saranno destinate a rintracciare i pagamenti in Bitcoin?
Al momento, l'amministrazione di Berlino non ha divulgato il numero totale di individui i cui documenti personali sono stati esposti, né le categorie esatte dei presunti dati di infrastruttura critica. Gli analisti continueranno a monitorare il Darknet per ulteriori upload che possano chiarire la portata della violazione.
Per ora, la fuga si configura come una delle più grandi fughe di dati confermate pubblicamente da un'autorità municipale tedesca, sottolineando la vulnerabilità delle reti del settore pubblico a intrusioni sofisticate in stile ransomware.