Una filtración de datos de proporciones gigantescas sacude Berlín, unos 1,4 millones de archivos y más de cinco terabytes tras un ciberataque. 'Euronews' responde las ocho preguntas clave.
¿Cómo ha sido posible este ataque?
Por ahora no hay una respuesta definitiva. La administración de Berlín sigue investigando cómo pudieron los atacantes penetrar en los sistemas informáticos y por qué vía lograron extraer los datos. Por ello, de momento es prematuro señalar una brecha de seguridad concreta o el fallo de responsables individuales como causa.
PUBLICIDAD
PUBLICIDAD
Lo que sí está claro es que el grupo de ciberdelincuencia tuvo aparentemente durante un periodo prolongado acceso a sistemas de la administración del Land de Berlín. Las investigaciones forenses en curso deben aclarar ahora cuándo comenzó exactamente el ataque, qué sistemas quedaron comprometidos y en qué medida fallaron las medidas de seguridad.
Para el análisis político habrá por tanto una cuestión central, cómo estaban protegidos los sistemas y si las señales de alarma y las brechas de seguridad se detectaron demasiado tarde.
¿Están afectadas las autoridades de seguridad y las infraestructuras críticas?
Tampoco esto se ha aclarado aún de forma definitiva. Según las primeras informaciones, entre los datos publicados figuran documentos sensibles para la seguridad, como una carpeta con la denominación "AG CBRN-Rahmenplanung". CBRN hace referencia a amenazas químicas, biológicas, radiológicas y nucleares.
Podrían verse afectados empleados de la administración del Land de Berlín, cuyos datos personales, como números de teléfono, direcciones particulares o partidas de nacimiento, aparecen en los archivos difundidos, así como ciudadanos y otras personas cuyos datos fueron tratados por las autoridades berlinesas.
También se está analizando si, además, Policía, bomberos, servicios de emergencia o gestores de infraestructuras críticas se han visto afectados de forma directa. Precisamente por la enorme cantidad de datos todavía no existe una visión completa del alcance del incidente.
Especialmente delicados son los documentos relacionados con la seguridad. Si, como sostiene el grupo de ciberdelincuentes, planes de emergencia, planos de edificios o información sobre escenarios CBRN fueran realmente de acceso público íntegro, podrían derivarse riesgos para las autoridades, los servicios de emergencia y posiblemente también para infraestructuras críticas.
¿Son realmente en torno a 1,4 millones de archivos y qué hay exactamente detrás?
La magnitud de la filtración sí está clara, se trata de varios terabytes de datos y, previsiblemente, de 1.439.893 archivos. Las cifras exactas y el contenido completo del paquete de datos se siguen analizando.
El grupo de ciberdelincuencia Rhysida afirma que entre los archivos hay, entre otros, más de 5.000 expedientes de personal, nóminas, procedimientos sancionadores, documentos confidenciales, así como credenciales de acceso y contraseñas.
Todavía no está verificado cuáles de estas afirmaciones son correctas ni cuánta información sensible se ha visto comprometida.
¿Quién está detrás de Rhysida?
Tras Rhysida opera un grupo de ciberdelincuentes profesionalmente organizado, activo desde 2023 y especializado en ransomware. El grupo cifra o roba datos y trata después de extorsionar a sus víctimas con la amenaza de publicar la información obtenida.
Quiénes son exactamente las personas que operan Rhysida no se conoce públicamente. Desde su aparición en junio de 2023, Rhysida se ha atribuido, según rastreadores de ciberdelincuencia, cientos de ataques, entre otros contra administraciones, hospitales, centros educativos y empresas. Entre las víctimas conocidas figura, por ejemplo, la British Library.
En aquella ocasión, los piratas informáticos robaron unos 600 gigabytes de datos, los publicaron en la darknet tras negarse al pago del rescate y paralizaron al mismo tiempo gran parte de la infraestructura informática. La biblioteca sigue lidiando hoy con las consecuencias del ataque de 2023.
En el caso del ataque a Berlín esto significa que, por ahora, no hay indicios de que detrás esté un Estado. Según el conocimiento disponible, se trata de un grupo criminal de ransomware que busca ganar dinero con los datos robados.
Rhysida exigió a Berlín 30 Bitcoin, unos dos millones de euros, y amenazó con publicar los datos sustraídos. El Senado de Berlín rechazó pagar. Tras expirar el ultimátum, los autores difundieron efectivamente el paquete de datos en la darknet.
Se desconoce desde dónde opera exactamente Rhysida. Los expertos sitúan a quienes mueven los hilos en la región de Europa del Este.
¿Cabe esperar nuevas filtraciones por parte de Rhysida?
Sí, en este momento no puede descartarse. Rhysida ya ha publicado una gran parte de los datos obtenidos, pero sigue sin estar claro si con ello se han hecho realmente públicos todos los datos robados. La administración berlinesa investiga si, además del paquete de datos ya identificado, se han filtrado más informaciones.
Además existe el riesgo de que los datos ya publicados se sigan difundiendo, se copien o sean explotados por otros delincuentes. La Oficina Federal de Seguridad de la Información (BSI) advierte expresamente de posibles ataques posteriores, por ejemplo campañas de phishing dirigidas y intentos de fraude.
La filtración original ya es pública, pero el peligro no termina ahí. Ahora resulta decisivo saber si Rhysida sigue disponiendo de más datos y si la información ya difundida se sigue propagando o se reutiliza para nuevos ataques.
¿Cómo podría haberse evitado el ataque?
Solo podrá responderse con rigor cuando concluyan las investigaciones forenses. La vía concreta de entrada de los piratas informáticos no se ha hecho pública. Lo que sí se sabe es que el ataque se descubrió el 14 de agosto, después de que los atacantes hubieran extraído datos entre el 7 y el 12 de agosto. Las administraciones afectadas se aislaron a continuación de la red del Land.
En términos generales, varias medidas de protección podrían haber reducido el riesgo de un ataque de este tipo, la aplicación sistemática de parches y la actualización de los sistemas informáticos, controles de acceso estrictos y autenticación multifactor, una segmentación más estricta de las distintas áreas de red y una supervisión continua de salidas inusuales de datos.
En este contexto resulta especialmente relevante una observación del Tribunal de Cuentas de Berlín, que ya en 2024 criticó en una de las administraciones del Senado, entre otros aspectos, el uso de un cortafuegos de desarrollo propio cuyas funciones y cambios de configuración no estaban documentados de forma suficiente. Además, los cortafuegos profesionales disponibles no se estaban utilizando adecuadamente ni se actualizaban con la regularidad necesaria.
No está demostrado, sin embargo, que estas u otras debilidades sean las que han hecho posible el ataque actual de Rhysida.
¿Se puede frenar la filtración o borrar los datos de la red?
En la práctica, una vez que un conjunto de datos se ha hecho público resulta casi imposible recuperarlo por completo. Aunque se cierre la página original de la filtración, los piratas informáticos, otros delincuentes o terceros pueden haber descargado ya los archivos, copiarlos y seguir difundiéndolos en otros lugares.
Las autoridades berlinesas pueden, no obstante, intentar que se retiren publicaciones concretas y contener en lo posible su difusión. Al mismo tiempo, se trata de bloquear accesos comprometidos, restablecer contraseñas y credenciales de acceso y proteger especialmente la información más sensible.
La realidad clave en un ataque de este tipo es que lo que llega a Internet difícilmente puede desaparecer por completo. El objetivo ahora es limitar al máximo la difusión posterior y los posibles daños derivados.
¿Quién informa a las personas afectadas y cuándo?
El Land de Berlín ha confirmado expresamente que, además del personal de la administración, también pueden haberse visto afectados datos personales de ciudadanos y empresas.
Por eso, para muchos berlineses la gran pregunta ahora es si sus datos personales han acabado en la darknet y quién se lo comunicará. La administración debe analizar primero qué datos se han filtrado realmente y a quién pueden atribuirse.
Hasta entonces, muchos seguirán sin saberlo, si están afectados y, en ese caso, qué datos suyos circulan por la red.
IMPORTANTE: Si sus datos personales se han publicado efectivamente a raíz de la filtración, en principio puede existir un derecho a indemnización por daños y perjuicios. La base jurídica es el artículo 82 del Reglamento general de protección de datos (RGPD). No obstante, que ese derecho exista en la práctica y cuál podría ser el importe de una eventual compensación depende de las circunstancias concretas de cada caso.