Ciberataque contra el Landesnetz de Berlín y publicación de datos sustraídos

Entre el 7 y el 12 de agosto de 2026 se produjo el principal flujo de datos desde sistemas de dos administraciones del Gobierno regional de Berlín: la Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt y la Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen. El incidente fue detectado durante investigaciones forenses y, el 14 de agosto, ambas administraciones fueron desconectadas preventivamente del Landesnetz para evitar una posible propagación. El Gobierno de Berlín hizo público el incidente el 17 de agosto, cuando todavía no había concretado su alcance. Posteriormente, las investigaciones confirmaron que se había producido una extracción de datos antes de la desconexión de los sistemas. 

Tras el acceso, el grupo criminal Rhysida asumió la autoría y afirmó haber sustraído aproximadamente 5,7 TB de información, aunque esta cantidad fue inicialmente una afirmación únicamente de los atacantes. El grupo exigió al Gobierno de Berlín 30 bitcoins, unos dos millones de euros, a cambio de no publicar los datos, pero las autoridades rechazaron el pago. El 4 de septiembre los atacantes comenzaron a publicar los datos en la Darknet y posteriormente, difundieron un nuevo paquete el 6 de septiembre, que incluía credenciales de acceso. El Gobierno de Berlín estableció una unidad central de coordinación para revisar, verificar y evaluar la información publicada, con participación del LKA, las dos administraciones afectadas, la autoridad de protección de datos y otros organismos de seguridad; además, se adoptaron medidas adicionales tras la aparición de las credenciales. 

A fecha de 10 de septiembre de 2026, el Gobierno de Berlín mantiene abiertas las investigaciones forenses y el análisis de los datos publicados, por lo que todavía no existe una identificación completa de toda la información afectada. La Administración señala que los datos corresponden principalmente a información no estructurada almacenada en directorios compartidos y personales de empleados de las administraciones afectadas, y que pueden existir datos personales de empleados, ciudadanos y empresas; la propia administración ha indicado que no puede pronunciarse todavía sobre documentos concretos hasta finalizar el análisis. No existen, según el estado comunicado oficialmente, indicios de que el Landesnetz continúe infiltrado, mientras que las personas identificadas como afectadas serán notificadas conforme a la normativa de protección de datos. El 10 de septiembre se habilitó además un punto central de contacto para ciudadanos y empresas afectados.