Il Land di Berlino ha confermato di essere sotto ricatto dopo un cyberattacco alla propria rete amministrativa. Le verifiche hanno stabilito che alcuni dati sono usciti dai sistemi tra il 7 e il 12 agosto 2026. Le due amministrazioni interessate sono state isolate dal Landesnetz la sera del 14 agosto.

Questa distanza temporale è il dato più importante della vicenda. Un’organizzazione può adottare misure di contenimento corrette e riportare online i servizi, ma scoprire solo dopo che l’attaccante aveva già avuto il tempo di raccogliere informazioni. La sicurezza non si misura quindi soltanto dalla capacità di bloccare un incidente: dipende anche da quanto presto lo si riesce a riconoscere.

Che cosa è confermato dalle autorità tedesche

Il primo comunicato della Cancelleria del Senato, pubblicato il 17 agosto, parlava di una compromissione del Landesnetz. Le amministrazioni per lo sviluppo urbano e l’edilizia e quella per mobilità, trasporti, clima e ambiente erano già state separate dalla rete per limitare ulteriori conseguenze. Sono stati coinvolti il Landeskriminalamt, la Procura di Berlino e il Bundesamt für Sicherheit in der Informationstechnik.

Il 23 agosto le due amministrazioni sono state ricollegate. I procedimenti digitali utilizzati anche dai distretti sono tornati disponibili, pur con possibili ritardi. Questo non ha chiuso l’indagine: il monitoraggio rafforzato e le analisi forensi sono proseguiti.

Tre giorni dopo è arrivato un aggiornamento decisivo. Berlino ha riconosciuto ulteriori fuoriuscite di dati e ha dichiarato di non poter escludere informazioni personali o comunque non pubbliche. Il 28 agosto la finestra dell’esfiltrazione è stata precisata: dal 7 al 12 agosto, prima dell’isolamento del 14. Nello stesso comunicato il Land ha confermato il tentativo di estorsione.

Rhysida, 6 terabyte e 30 bitcoin: che cosa sappiamo davvero

La cifra più forte non viene dalle autorità. Secondo la stampa tedesca, sul leak site della ransomware gang Rhysida è comparsa una rivendicazione che parla di quasi sei terabyte di dati e chiede 30 bitcoin, circa due milioni di euro, per non pubblicarli. La stessa rivendicazione elenca procedimenti amministrativi, contratti, documenti giudiziari, piani di emergenza, password e file contenenti dati di accesso.

Der Spiegel, ripreso da n-tv e Die Zeit, riferisce che ambienti di sicurezza coinvolti avrebbero identificato Rhysida come il soggetto che sta ricattando Berlino. Gli estorsori hanno pubblicato anche alcuni campioni che sembrano provenire da documenti amministrativi.

Questo rende la ricostruzione plausibile, non definitiva. Quantità, elenco dei file e autenticità dei campioni non risultano ancora verificati in modo indipendente. Non è stato inoltre chiarito pubblicamente se chi ha pubblicato l’annuncio sia con certezza lo stesso soggetto che ha condotto l’intrusione. Per ora è corretto dire che l’estorsione e il furto di dati sono confermati; i numeri e l’attribuzione restano una rivendicazione supportata da riscontri giornalistici, ma non ancora certificata dall’indagine.

Il danno comincia prima che i sistemi si fermino

Il caso di Berlino ricorda una distinzione spesso trascurata. Un incidente non inizia quando un servizio diventa indisponibile o quando compare una richiesta di riscatto. Può iniziare giorni o settimane prima, con accessi anomali, ricognizione interna, raccolta di credenziali e trasferimenti di dati che non producono un’interruzione visibile.

Da fuori, l’organizzazione continua a funzionare. Dentro la rete, però, l’attaccante può costruire il proprio vantaggio. È per questo che antivirus, firewall e backup non esauriscono il problema: servono capacità di osservazione e analisi continuativa sul comportamento degli account, sui movimenti tra sistemi e sui volumi di dati che attraversano il perimetro.

Il tempo di rilevamento diventa così una misura di rischio. Ridurlo non impedisce ogni intrusione, ma limita lo spazio a disposizione dell’attaccante e rende più tempestive le decisioni di contenimento.

Isolare la rete è necessario, ma ha un costo operativo

Separare le amministrazioni colpite dal Landesnetz ha protetto il resto dell’infrastruttura, ma ha prodotto conseguenze concrete. Secondo le comunicazioni dei distretti e la copertura di Tagesschau, per alcuni giorni sono stati limitati procedimenti legati a edilizia, mobilità, autorizzazioni stradali, uso del suolo pubblico e sussidi abitativi.

La segmentazione funziona quando consente di circoscrivere un problema. Deve però essere accompagnata da procedure alternative, responsabilità chiare e priorità di ripristino. Altrimenti una misura tecnicamente corretta può lasciare persone e uffici senza gli strumenti necessari per lavorare.

Lo stesso vale per un’impresa. Quali sistemi possono essere isolati senza fermare l’intera attività? Quali processi devono continuare anche manualmente? Chi decide che cosa riattivare per primo? Le risposte non possono essere improvvisate durante l’incidente.

Le prime rassicurazioni possono cambiare

Nelle prime fasi era stato indicato che non risultavano sottratti dati sensibili. Gli aggiornamenti successivi hanno corretto il quadro, fino a non poter escludere informazioni personali e non pubbliche. Non è necessariamente il segno di una comunicazione sbagliata: durante un’indagine forense le evidenze arrivano per gradi.

La lezione è organizzativa. Una comunicazione credibile deve distinguere ciò che è accertato, ciò che non è stato ancora osservato e ciò che resta in verifica. Dire “non abbiamo evidenze” non equivale a dire “non è accaduto”. Questa differenza protegge la fiducia quando il quadro cambia.

La domanda utile per un’azienda

Il titolo della vicenda parla di Berlino, ransomware e milioni di euro. La domanda più vicina a un’azienda è meno spettacolare: se oggi iniziassero a uscire dati dalla nostra rete, quale segnale ce ne accorgerebbe?

Una risposta concreta richiede almeno inventario dei sistemi, registrazione degli eventi, monitoraggio continuativo, segmentazione verificata, procedure di escalation e un piano di continuità. Non basta possedere gli strumenti. Bisogna sapere quali eventi generano, chi li osserva, come vengono collegati e quanto rapidamente possono trasformarsi in una decisione.

La difesa comincia prima dell’allarme, proprio nel periodo in cui tutto sembra ancora funzionare.

Fonti e riferimenti in lingua tedesca