Co się wydarzyło?
Cyberatak na część berlińskiej administracji przeradza się w jeden z najpoważniejszych znanych dotąd incydentów bezpieczeństwa IT na szczeblu krajowym w Niemczech. Od 4 września 2026 roku w darknecie opublikowano około 1,44 miliona plików o łącznej wielkości 5,8 terabajta. Początkowo urzędy i opinia publiczna zakładały, że dotyczy to przede wszystkim danych osobowych, takich jak zeskanowane paszporty, umowy o pracę, dokumenty aplikacyjne i zwolnienia lekarskie. Tymczasem przybywa jednak dowodów, że wyciekły również wysoce wrażliwe informacje dotyczące infrastruktury krytycznej, ochrony ludności oraz przedsiębiorstw zbrojeniowych.
Szczegóły
Atak rozpoczął się już między 7 a 12 sierpnia 2026 roku, gdy nieznani sprawcy niezauważenie uzyskali dostęp do sieci krajowej (Landesnetz) senackich wydziałów ds. rozwoju miasta, budownictwa i mieszkalnictwa oraz ds. mobilności, transportu, środowiska i ochrony klimatu, wyprowadzając dane. Atak zauważono dopiero 14 sierpnia, a dotknięte urzędy odizolowano od sieci krajowej. Trzy dni później kancelaria senatu poinformowała opinię publiczną o „incydencie ICT w sieci krajowej Berlina”, powołano sztab kryzysowy, a sprawą zajęły się BKA, LKA oraz BSI.
W kolejnych tygodniach doszło do poważnych zakłóceń: około 50 000 uprawnionych gospodarstw domowych w Berlinie czasowo nie otrzymywało wypłat dodatku mieszkaniowego. Dopiero 24 sierpnia wszystkie dotknięte części administracji senackiej ponownie podłączono do sieci. 28 sierpnia ujawniono żądanie okupu – grupa ransomware „Rhysida” zażądała 30 bitcoinów, co odpowiadało równowartości około dwóch milionów euro. Rządzący burmistrz Kai Wegner oświadczył, że kraj związkowy Berlin nie da się szantażować. Po upływie ultimatum sprawcy opublikowali dane.
Według ustaleń Chaos Computer Club oraz doniesień medialnych dziennika „Tagesspiegel” wśród ujawnionych plików znajdują się również informacje dotyczące berlińskiego zaopatrzenia w wodę, elektrociepłowni, składów paliw, agregatów prądotwórczych awaryjnych, stacji transformatorowych, więzień, zakładów wodociągowych, a także przedsiębiorstw zbrojeniowych i Bundeswehry. Ponadto ujawniono hasła w postaci jawnego tekstu, dokumenty sądowe oraz ponad 46 500 umów kraju związkowego. Pełny przegląd ilości danych jest dotąd trudny do uzyskania, ponieważ zawartość nie daje się łatwo przeszukiwać.
Ocena
Politycy i eksperci wyrażają zaniepokojenie. Wicefraktion Zielonych Konstantin von Notz mówił w „Handelsblatt” o „prawdziwej megakatastrofie danych” i ostrzegał przed potencjalnie znacznymi skutkami finansowymi dla podatników. Dostrzega on także współwinę rządu federalnego i nie wyklucza konsekwencji personalnych, jeśli okaże się, że mechanizmy ochronne były świadomie ignorowane. Polityk CDU ds. zagranicznych Roderich Kiesewetter określił wyciek danych w rozmowie z „Süddeutsche Zeitung” jako zagrożenie dla bezpieczeństwa narodowego.
Ekspert ds. IT Manuel Atug zarzuca krajowi związkowemu Berlin rażące zaniedbanie i oświadczył, że już w 2023 i 2025 roku jako biegły w berlińskiej komisji spraw wewnętrznych zwracał uwagę na poważne luki w zabezpieczeniach. BSI ostrzega przed zwiększonym zagrożeniem dla społeczeństwa, ponieważ informacje istotne dla bezpieczeństwa infrastruktury krytycznej mogą zostać wykorzystane przez obce mocarstwa lub terrorystów.
Dla branży techniki zabezpieczeń ten przypadek pokazuje, jak ściśle powiązane są obecnie bezpieczeństwo fizyczne i cyfrowe: jeśli dane dotyczące agregatów awaryjnych, stacji transformatorowych czy zakładów wodociągowych są publicznie dostępne, może to potencjalnie dotyczyć także operatorów systemów kontroli dostępu, systemów alarmowych i monitoringu wizyjnego w tych lokalizacjach.
Wskazówki praktyczne
- Osoby poszkodowane, pracownicy i firmy powinny poważnie potraktować zapowiedziany kontakt ze strony nowo utworzonej jednostki koordynacyjnej za pośrednictwem listu lub e-maila i stosować się do zawartych w nim wskazówek.
- CCC ostrzega przed kradzieżą tożsamości i próbami wymuszenia – osoby poszkodowane powinny zachować szczególną czujność w przypadku nieoczekiwanych kontaktów powołujących się na dane osobowe.
- Ponieważ wyciekły również hasła w postaci jawnego tekstu, pracownicy dotkniętych urzędów oraz ogólnie wszyscy, którzy powiązali dane dostępowe z kontami urzędowymi, powinni niezwłocznie je zmienić.
- Operatorzy infrastruktury krytycznej powinni, w obliczu możliwej publikacji szczegółowych informacji o obiektach takich jak stacje transformatorowe czy systemy zasilania awaryjnego, zweryfikować swoje fizyczne środki ochrony – na przykład kontrolę dostępu i ochronę obwodową.
Perspektywy
Dochodzenia kryminalistyczne i śledztwa trwają, pełny przegląd zakresu i treści ujawnionych danych nie jest jeszcze dostępny. Oprócz BSI, BKA i Federalnego Urzędu Ochrony Konstytucji w wyjaśnianiu sprawy bierze udział także Wspólne Centrum Obrony Cybernetycznej. Bundeswehra zapowiedziała podjęcie działań na rzecz ochrony bezpieczeństwa wojskowego po zakończeniu analizy ryzyka. Rząd kraju związkowego Berlin poinformował, że już zwiększył swoje środki bezpieczeństwa.
Szczególnej wagi sprawie nadają zbliżające się za dwa tygodnie wybory do berlińskiej Izby Deputowanych. Krajowy komisarz wyborczy Stephan Bröchler oświadczył wprawdzie, że według obecnego stanu wiedzy środowisko wyborcze nie jest zagrożone – jednak biorąc pod uwagę skalę wycieku, temat bezpieczeństwa IT może odegrać rolę również w kampanii wyborczej. Sprawa pokazuje przykładowo, jak daleko idące konsekwencje mogą mieć niedostateczne wymogi ochrony tajemnic w administracji publicznej – lekcja istotna także dla operatorów obiektów o znaczeniu krytycznym dla bezpieczeństwa poza administracją.
