Qué ocurrió: la filtración de 5,26 TB de Rhysida

El grupo de ransomware Rhysida ha publicado 5,26 terabytes de datos robados al gobierno estatal de Berlín en la dark web. El volcado sigue un patrón familiar para el grupo: infiltrarse en una red, exfiltrar grandes volúmenes de archivos sensibles, exigir un pago y publicar todo cuando el objetivo se niega a pagar. Esta última divulgación forma parte de una saga en curso que vpn.social ha seguido de cerca, incluida la publicación anterior por parte de Rhysida de casi seis terabytes de datos robados de Berlín y la decisión del grupo de volcar los datos de Berlín después de que la ciudad rechazara una exigencia de rescate de 2 millones de euros.

Las filtraciones de datos gubernamentales de este tamaño rara vez son eventos que ocurren una sola vez. Suelen desarrollarse por etapas, con amenazas iniciales, plazos, liberaciones parciales y, finalmente, la publicación completa una vez que las negociaciones se derrumban. El caso de Berlín parece seguir exactamente esa trayectoria, culminando en esta publicación de 5,26 TB.

Quién es Rhysida y por qué ataca a instituciones públicas

Rhysida ha estado activo desde 2023 y se ha labrado una reputación por atacar dos sectores en particular: organizaciones sanitarias y administraciones públicas. Entre sus víctimas conocidas figuran el Centro Hospitalar Universitário de Lisboa, una importante red hospitalaria de Portugal, e incluso el Vaticano. Este patrón no es casual. Los hospitales, los gobiernos municipales y las instituciones religiosas a menudo funcionan con sistemas informáticos heredados, operan con presupuestos ajustados para ciberseguridad y poseen enormes volúmenes de datos personales y administrativos sensibles, exactamente el tipo de combinación que los convierte en objetivos atractivos para un grupo que busca datos de alto valor con defensas comparativamente más débiles.

Las víctimas del sector público también enfrentan un dilema único cuando son golpeadas por ransomware. Pagar un rescate a un grupo criminal plantea cuestiones legales y éticas, y no hay garantía de que el pago impida que los datos se filtren o se revendan de todos modos. Negarse a pagar, por otro lado, significa que los datos se hacen públicos, lo que podría exponer a ciudadanos, empleados y operaciones gubernamentales a un daño duradero. Se ha informado anteriormente de que el gobierno de Berlín rechazó una exigencia de rescate hecha en Bitcoin antes de un plazo establecido, una decisión que finalmente llevó a que los datos fueran volcados en lugar de vendidos o suprimidos.

El manual de la doble extorsión

Rhysida opera utilizando una táctica conocida como doble extorsión. En lugar de simplemente cifrar archivos y exigir un pago por una clave de descifrado, el grupo primero roba una copia de los datos antes de bloquear los sistemas. Esto les da dos formas de presión: se presiona a las víctimas para que paguen tanto para recuperar el acceso a sus propios sistemas como para evitar que los datos robados se publiquen o se vendan. Si no se paga un rescate, el grupo cumple su amenaza publicando los datos, como ha ocurrido repetidamente a lo largo del caso de Berlín, incluida una publicación anterior descrita como datos del gobierno de Berlín filtrados tras una negativa a pagar un rescate.

La doble extorsión se ha vuelto cada vez más común entre los grupos de ransomware precisamente porque funciona. Incluso las organizaciones con sólidos sistemas de respaldo que pueden restaurar archivos cifrados sin pagar siguen enfrentando la amenaza de la exposición pública de datos, lo que mantiene la presión independientemente de lo bien que resista el plan de recuperación ante desastres de una víctima.

Qué significa esto para ti

Si vives en Berlín, trabajas para la administración de la ciudad o tienes alguna interacción con los sistemas gubernamentales afectados, vale la pena prestar atención a esta filtración. Las filtraciones de datos de la administración pública como esta a menudo incluyen registros personales vinculados a empleados y residentes, no solo archivos burocráticos internos. Incluso si no fuiste notificado directamente, es razonable suponer que la información sensible vinculada a los servicios públicos podría estar circulando en la dark web tras una brecha de esta magnitud.

En términos más generales, este incidente es un recordatorio de que los grupos de ransomware consideran cada vez más a las instituciones públicas, y no solo a las corporaciones, como objetivos principales. Los sistemas sanitarios y los organismos gubernamentales poseen datos que son difíciles de reemplazar e imposibles de "desfiltrar" una vez que salen a la luz. Esa realidad presiona a las agencias públicas a invertir en defensas de ciberseguridad más sólidas, pero también significa que las personas deben mantenerse alerta ante señales de que sus propios datos han quedado expuestos sin culpa alguna de su parte.

Tomar medidas tras una filtración de datos gubernamentales

Si crees que tu información pudo haber formado parte de esta brecha o de una similar, hay pasos prácticos que vale la pena tomar. Vigila tus cuentas y cualquier número de identificación emitido por el gobierno en busca de señales de uso indebido. Ten cuidado con los intentos de phishing que hagan referencia a tus datos personales, ya que los datos filtrados a menudo se reutilizan para estafas posteriores. Considera la posibilidad de utilizar servicios de monitoreo de identidad si están a tu disposición, y mantente informado a través de las comunicaciones oficiales del gobierno sobre el alcance de la brecha y cualquier apoyo ofrecido a los residentes afectados.

La saga del ransomware Rhysida en Berlín ilustra cómo una sola negativa a pagar un rescate puede desencadenar un evento masivo de exposición de datos en múltiples etapas. A medida que estos incidentes continúan desarrollándose, mantenerse informado sobre cómo tus datos pueden verse afectados sigue siendo una de las formas más eficaces de protegerte tras los hechos.