6 de septiembre de 2026 · Ransomware · Rhysida · Sicherheitsvorfall · Verwaltung · Notfallplanung

Red del Estado de Berlín: entre el «todo en orden» y la filtración

El 19 de agosto Berlín comunicó que no había salido nada sensible. El 4 de septiembre los datos estaban en la red. Qué hay en medio – y qué se deduce de ello.

El viernes 14 de agosto de 2026, el Estado de Berlín desconectó dos administraciones del Senado de la red estatal: la de desarrollo urbano, construcción y vivienda, y la de movilidad, transporte, protección climática y medio ambiente. El compromiso había salido a la luz durante investigaciones forenses. Ambas quedaron localizables solo por teléfono; la ayuda a la vivienda no podía solicitarse ni abonarse. Se implicó a la Oficina Estatal de lo Criminal, a la fiscalía y al BSI.

Cinco días después, el alcalde-gobernador Kai Wegner dijo que, según los conocimientos disponibles, no habían salido datos sensibles – y lo matizó en la misma frase: «Ese es el estado actual de conocimiento».

El 4 de septiembre, el grupo autor, Rhysida, publicó el conjunto de datos: unos 5,26 terabytes según el análisis de lo realmente difundido.

Entre esas dos frases está la verdadera lección de este incidente – y no tiene que ver con Berlín, sino con cómo transcurren este tipo de ataques.

Qué ocurrió realmente

El 7 de agosto, la Administración del Senado de Movilidad comunicó una primera salida de datos: siete días antes de que la casa fuera desconectada de la red estatal. El trabajo forense encontró después más salidas y sitúa la ventana entre el 7 y el 12 de agosto. La exfiltración, por tanto, no terminó con el hallazgo: continuó mientras ya se estaba investigando.

El 28 de agosto Berlín hizo público que no pagaría. Tras una sesión extraordinaria del Senado, Wegner declaró que el Estado de Berlín estaba siendo extorsionado y que no se entraría en el intento de extorsión. El grupo fijó un plazo y ofreció los datos con una puja mínima de 30 bitcoin: unos dos millones de euros.

El 4 de septiembre llegó la publicación. Los atacantes reclaman para sí 5,79 terabytes y unos 1,44 millones de archivos con datos personales de 12.076 personas: cifras de la entrada en el sitio de filtraciones, no confirmadas por Berlín. Un análisis de lo realmente difundido llega a 5,26 terabytes con un número de archivos prácticamente idéntico: los atacantes exageraron el volumen, no la cantidad de documentos. El análisis clasifica el material como documentación de personal, financiera y administrativa, además de credenciales de acceso.

Un detalle de ese análisis merece atención especial: encuentra en el material publicado también contenidos de la papelera de reciclaje y archivos de Word y Excel guardados temporalmente. Quien equipara mentalmente los datos que salen con el archivo documental cuidado subestima el daño. Se llevan lo que está al alcance – incluido aquello que en una casa se daba por borrado.

Por qué el primer «todo en orden» no fue un fallo

Sería barato reprochar al Estado la declaración del 19 de agosto. Estaba formulada con cautela, Wegner la limitó él mismo – y describe exactamente la situación en la que se encuentra cualquier organización en los primeros días: se ve lo que los propios sistemas registraron, no lo que la otra parte ya tiene.

Ese es justamente el punto para su casa. En los primeros días tras un hallazgo no hay una afirmación sólida sobre si han salido datos. Solo existe la afirmación de que hasta ahora no se ha podido ver una salida. Quien convierte eso en un «todo en orden» interno – ante la dirección, el comité de empresa, los clientes – puede verse obligado a retirarlo semanas después, y entonces en una situación en la que ya nadie escucha con calma.

La consecuencia práctica es incómoda, pero sencilla: formule los estados intermedios de modo que sigan siendo ciertos si la cosa empeora.

Cómo entraron no está aclarado públicamente

Sobre cómo entraron técnicamente los atacantes no hay respuesta pública concluyente semanas después del incidente.

Una nota al margen, porque de lo contrario la conexión la establecerá otro: en una alerta del 4 de septiembre, el BSI describe para el compromiso de una institución estatal no nombrada en agosto de 2026 una cadena concreta – un sitio web preparado, un CAPTCHA falso, un comando de PowerShell ejecutado por el propio usuario, después sideloading y un canal de retorno por el puerto 443 – y atribuye el malware empleado al mismo grupo que está detrás de Rhysida. Si ese fue el camino en Berlín, el documento no lo dice. Y ninguna otra fuente pública lo dice tampoco.

Para la planificación propia esta es la observación más importante de todo el asunto. Si un Estado federado con la Oficina Estatal de lo Criminal, la fiscalía y el BSI detrás no nombra públicamente el acceso inicial al cabo de semanas, no cuente con conocerlo en su casa en tres días. Un plan de emergencia que presupone conocer la vía antes de actuar no es un plan.

Qué muestra la desconexión de la red

La primera medida en Berlín fue de naturaleza estructural: dos administraciones fueron separadas de la red estatal – no el resto. Que una separación así esté siquiera disponible como opción no es evidente, sino una cuestión de arquitectura de red. Barata tampoco es: en las casas desconectadas colgaban procedimientos especializados, y la ayuda a la vivienda quedó parada. La contención cuesta – la única pregunta es si llega a ser una opción.

En una red plana esa opción no existe. Allí contener significa: todo apagado, o nada apagado. Por eso la segmentación no es un ejercicio de cumplimiento, sino la condición para tener elección en una emergencia.

Para su casa vale lo mismo en la recuperación. Las copias de seguridad accesibles y modificables desde la misma red no son copias de seguridad en un caso de ransomware. Inmutables, separadas y – la parte que casi todos omiten – restauradas al menos una vez antes de que haga falta.

Qué significa eso para el plazo

En su alerta, el BSI recoge el conocimiento de un proveedor comercial de servicios: a la mención en el sitio de filtraciones de este grupo le sigue también una publicación en el 92 por ciento de los casos, de media 11 días después. Berlín confirma la primera parte – y quedó por debajo de la segunda: entre la mención del 28 de agosto y la publicación del 4 de septiembre pasaron siete días.

Una semana escasa no es tiempo de negociación. Es el tiempo para identificar a los afectados, cumplir las obligaciones de notificación y preparar una comunicación que no se improvise el día de la publicación. Y la media no es una promesa: Berlín tuvo cuatro días menos. Quien empieza a organizar esa semana solo después del hallazgo la pierde en la organización.

Cómo apoya sector7

Lo que de aquí sirve para su casa nos viene de dos direcciones. De la industria de defensa: nuestros ingenieros están instruidos en VS-NfD y tienen experiencia de proyecto en entornos clasificados del sector defensa – desde la arquitectura y el pilotaje de una infraestructura SD-WAN para un grupo del sector hasta la asunción de una plataforma de application delivery en operación regular. Y del trabajo para municipios y administraciones. Lo que de ahí perdura es menos la tecnología que el trato con ella: cambios documentados, accesos trazables, ningún atajo.

En la práctica significa tres cosas. Planificamos y operamos redes segmentadas con transiciones controladas – para que la contención sea una opción y no una caída total. Implantamos copias de seguridad inmutables en destinos propios geo-redundantes, probamos la restauración y ensayamos el plan de emergencia en lugar de archivarlo. Y operamos nuestros sistemas sobre infraestructura propia en Alemania, con parque de servidores y espacio de direcciones IP propios.

Un límite lo nombramos de entrada, porque de lo contrario llega tarde a la conversación: VS-NfD es el nivel de protección de secretos más bajo y el único que funciona sin una verificación de seguridad formal. Estamos instruidos en VS-NfD – no somos una empresa bajo supervisión oficial de protección de secretos. Donde su encargo exija más, lo decimos antes. Más al respecto en industria de defensa y proveedores.

Fuentes

Hablemos de su situación.

Concertar una conversación+49 212 240915 0