O governo estadual de Berlim confirmou ser alvo de uma tentativa de extorsão após a invasão, em agosto, da rede administrativa estadual da cidade, e informou que não vai atender às exigências dos criminosos.
A mesma nota revelou que trabalhos forenses encontraram novos fluxos de dados no escopo da Secretaria do Senado para Mobilidade, Transportes, Proteção Climática e Meio Ambiente, com a exfiltração datada entre 7 e 12 de agosto de 2026.
O alcance e o conteúdo ainda estão sendo examinados, e a Chancelaria do Senado afirmou que não é possível descartar que entre os dados levados haja informações pessoais ou outros dados não públicos.
Segundo a Chancelaria do Senado, a secretaria registrou a primeira saída de dados em 7 de agosto, sete dias antes de ser desconectada da rede, em 14 de agosto.
Berlim não divulgou quanto saiu da rede. O único levantamento detalhado em circulação é o dos próprios atacantes, em uma publicação em site de vazamento indexada em 28 de agosto, que afirma ter obtido 5,79 terabytes de dados e informações pessoais de 12.076 pessoas.
As duas notas do Senado sobre o incidente não trouxeram orientações para as pessoas cujos registros possam estar entre os dados afetados até 29 de agosto.
“O estado de Berlim está sendo chantageado”, disse o prefeito-governador Kai Wegner após uma sessão especial do Senado na Rotes Rathaus, em declaração citada na versão em inglês gerada automaticamente no portal oficial da cidade.
A nota da Chancelaria do Senado informou ainda que a polícia criminal estadual, o Ministério Público e autoridades federais de segurança investigam os suspeitos, sem identificar qual grupo estaria por trás do ataque.
A revista Der Spiegel atribuiu a ação ao grupo Rhysida, citando uma entrada no site de vazamentos do grupo na dark web e fontes de segurança envolvidas na resposta. Confirmou-se, por meio de um serviço de monitoramento de sites de vazamento, em 29 de agosto, que uma entrada com o título “Berlin, Germany” foi adicionada ao site do Rhysida em 28 de agosto.
A publicação afirma ter examinado 5,79 terabytes de dados e cerca de 1,44 milhão de arquivos, e identifica a vítima apenas como Berlin, Germany, em vez de citar o Senado ou qualquer secretaria específica. Não havia valor de resgate na entrada, e suas 11 categorias de arquivos, sendo a maior delas formada por 124.823 arquivos de mapas e geodados, somam cerca de um quarto do total de arquivos alegado.
A Cybersecurity and Infrastructure Security Agency (CISA), o Federal Bureau of Investigation (FBI) e o Multi-State Information Sharing and Analysis Center (MS-ISAC) descreveram as táticas do grupo em um alerta conjunto sobre o Rhysida, que documenta as seguintes rotas de acesso inicial:
Contas válidas em serviços remotos expostos à internet, em que os atacantes autenticam-se em pontos de acesso de VPN internos com credenciais válidas comprometidas, especialmente em organizações que não têm MFA habilitado por padrão.
Zerologon (
CVE-2020-1472
), uma falha de elevação de privilégios no Netlogon Remote Protocol da Microsoft, corrigida pela Microsoft em 11 de agosto de 2020.
phishing, que as agências registram como uma rota bem-sucedida para entrar nas redes das vítimas.
O alerta foi publicado em novembro de 2023, quando as agências advertiram pela primeira vez sobre os ataques de dupla extorsão do Rhysida. O documento registra que “FBI e CISA não incentivam o pagamento de resgate”, porque o pagamento não garante a recuperação e pode encorajar os adversários a mirar outras organizações.
As agências recomendam priorizar a correção de vulnerabilidades já exploradas, habilitar MFA em todos os serviços e segmentar as redes para impedir a propagação do ransomware.
O mesmo documento também cita relatos de código aberto sobre semelhanças entre a Vice Society, que a Microsoft monitora como Storm-0832, e os operadores do Rhysida, uma sobreposição apontada pela Check Point em 2023.
O serviço de monitoramento listava 280 vítimas do Rhysida até 29 de agosto, nove delas na Alemanha, incluindo a administração municipal de Stuttgart, em maio de 2026, e a organização humanitária Welthungerhilfe, em junho de 2025. A lista também inclui o Porto de Seattle, responsável pelo Aeroporto Internacional de Seattle-Tacoma, registrado em setembro de 2024.
A Chancelaria do Senado informou que o comissário estadual de proteção de dados de Berlim e o Escritório Federal de Segurança da Informação (BSI) estão sendo mantidos atualizados de forma contínua. Até 29 de agosto, não foram encontradas nenhuma manifestação do Comissário de Berlim para Proteção de Dados e Liberdade de Informação sobre o caso.
A senadora do Interior, Iris Spranger, disse que, até o momento, nenhum dado saiu das áreas relevantes para a condução da eleição para a Câmara dos Deputados de 20 de setembro e que sua equipe de segurança considera o ambiente eleitoral seguro.
Berlim divulgou o incidente pela primeira vez em 17 de agosto, afirmando que os trabalhos forenses haviam confirmado uma invasão da rede estadual e que os dois departamentos afetados estavam isolados desde a sexta-feira anterior.
Em uma entrevista coletiva em 19 de agosto, Wegner disse que o incidente foi e continua sendo grave, e destacou que, com base nas informações disponíveis até agora, nenhum dado sensível havia saído da rede estadual.
Os pedidos e pagamentos do benefício de moradia ficaram indisponíveis enquanto os dois departamentos permaneceram fora da rede. Todos os departamentos do Senado foram reconectados em 23 de agosto, e os trabalhos forenses e a varredura da rede estadual continuam.
MAG confirma roubo de dados de clientes
O Manchester Airports Group (MAG), maior operador aeroportuário do Reino Unido, que opera os aeroportos de Manchester, Londres Stansted e East Midlands, informou em 27 de agosto que uma terceira parte não autorizada obteve dados de clientes relacionados a reservas de estacionamento, salas VIP e Fast Track, além de cadastros no Wi-Fi dos três aeroportos.
“Em nenhum momento a segurança dos passageiros ou a segurança da aviação foi comprometida”, disse um porta-voz da MAG em nota divulgada pela empresa, acrescentando que as operações dos aeroportos e os serviços de estacionamento aos clientes continuam funcionando normalmente.
Os dados obtidos incluem endereços de e-mail, números de telefone, placas de veículos e códigos postais, e a MAG afirmou que nem ela nem o sistema acessado armazenam dados bancários ou de pagamento dos clientes. A nota descreve o ambiente como um sistema distinto da própria MAG.
O vazamento foi reivindicado pelo grupo de extorsão FulcrumSec, que informou a mídia ter roubado cerca de 86 GB de dados. Em mensagens enviadas ao veículo, o grupo assumiu a autoria do ataque e compartilhou amostras dos supostos dados roubados como prova.
A análise dessas amostras encontrou informações compatíveis com a divulgação da MAG, mas também indicou que o incidente expôs muito mais detalhes sobre clientes, reservas e viagens do que a empresa havia informado inicialmente. Um grupo de analistas validou um dos registros ao compará-lo com o histórico de compras conhecido de um viajante no Aeroporto de Manchester.
O registro listava corretamente compras anteriores de Fast Track, horários de reserva e chegada programada, terminal utilizado, valores pagos, referências da compra, gasto total e a finalidade aparente das viagens.
O material incluía um export de cerca de 21,5 GB com dados de clientes de Manchester, reunindo perfis consolidados que combinavam identificadores de clientes, histórico de reservas e classificações de marketing.
O grupo afirma ter obtido acesso por meio de credenciais da API do Iterable específicas do aeroporto, expostas em JavaScript executado no lado do cliente, e diz que o material roubado inclui quase 200.000 registros relacionados a viagens previstas para o restante de 2026.
Esses registros supostamente contêm datas, horários e informações de reserva vinculadas a dados de identificação pessoal.
O FulcrumSec afirma que pretende publicar os dados roubados e um relato técnico da invasão. Ainda assim, disse aos entrevistadores que avalia omitir ou redigir esses registros por causa do potencial de causar “dano no mundo real”.
Embora as amostras parecessem autênticas, ainda não foi possivel verificar de forma independente a origem alegada nem a extensão do acesso do threat actor, o tamanho total do conjunto de dados roubados ou a afirmação sobre os quase 200.000 registros de viagens futuras.
Após concluir a verificação, os analistas apagaram com segurança todo o material enviado, sem manter cópias, e não publicará nem compartilhará qualquer parte dele.
O FulcrumSec é um grupo de extorsão de dados motivado financeiramente e ativo desde 2025, com foco em roubar dados corporativos sensíveis e ameaçar sua divulgação, em vez de criptografar os sistemas das vítimas.
O grupo já reivindicou ataques contra organizações como LexisNexis, Novo Nordisk, Global Schools Group e Avnet.
Um porta-voz recusou responder aos pontos específicos e citou uma nota atualizada, na qual confirmou que clientes afetados com reservas futuras haviam sido contatados.
“A MAG está confiante de que adotamos medidas eficazes para proteger nossos clientes e contatamos todos os afetados, incluindo aqueles com reservas futuras, para oferecer suporte adicional”, disse um porta-voz da MAG a imprensa.
Além dos endereços de e-mail, números de telefone, placas de veículos e códigos postais divulgados pela MAG, as amostras analisadas continham referências de compra e reserva, seleção de aeroporto e de produto, preços, descontos, status da reserva, datas e horários de estacionamento, histórico de gastos, endereços IP, localizações aproximadas, informações sobre dispositivos e dados de engajamento de clientes.
Não foi identificado informações de cartões de pagamento ou contas bancárias nas amostras revisadas.
Ao contrário dos ZIP codes dos Estados Unidos, que em geral abrangem áreas de entrega mais amplas, um código postal completo do Reino Unido pode identificar um pequeno grupo de imóveis vizinhos. Segundo o Escritório de Estatísticas Nacionais do Reino Unido, um código postal típico para pequenos usuários cobre cerca de 15 endereços, e alguns são atribuídos a um único endereço.
Combinados com dados de contato, veículo e viagem, esses detalhes podem permitir que atacantes usem o aeroporto frequentado pela vítima, o veículo, as datas de estacionamento, o status da reserva ou os serviços comprados em emails de phishing, mensagens de texto ou golpes por telefone mais convincentes, fingindo ser a MAG ou um provedor de reservas.
A MAG informou que contatou os clientes afetados e recomendou que eles fiquem atentos a emails, mensagens de texto e chamadas telefônicas suspeitas.
A operadora aeroportuária destacou que jamais entraria em contato de forma inesperada para pedir dados de cartão de pagamento, informações bancárias ou senhas.
O incidente não causou interrupção operacional, e a MAG afirma que a segurança dos passageiros e a segurança da aviação não foram comprometidas.
Um porta-voz da MAG disse anteriormente ao Manchester Evening News que cerca de 8,7 milhões de clientes foram afetados, embora apenas endereços de e-mail tenham sido expostos para a “grande maioria”.
Isso faz do caso o maior vazamento de dados de clientes já conhecido envolvendo um operador aeroportuário britânico.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...