Il 28 agosto 2026 il gruppo ransomware Rhysida ha rivendicato il furto di 5,79 terabyte di dati dalle agenzie statali di Berlino, mettendoli all’asta sul proprio sito nel dark web con un prezzo di partenza di 30 Bitcoin. Le autorità della città-stato tedesca hanno rifiutato pubblicamente di pagare, a pochi giorni dalle elezioni locali. L’episodio arriva mentre l’Europa si prepara all’entrata in vigore di nuovi obblighi di segnalazione previsti dalla direttiva NIS2 e conferma un trend che riguarda da vicino anche Regioni, Comuni e ASL italiane.
Per un lettore italiano che si occupa di sicurezza informatica, il caso di Berlino non è un episodio isolato: è l’ennesima prova che la pubblica amministrazione europea resta un bersaglio privilegiato per i gruppi di ransomware-as-a-service. Questo articolo ricostruisce i fatti, analizza i numeri dell’attacco, confronta Rhysida con gli altri gruppi attivi nel 2026 e prova a delineare cosa aspettarsi nei prossimi mesi.
Chi è il gruppo ransomware Rhysida
Rhysida è comparso per la prima volta nel giugno 2023 e da allora ha rivendicato quasi 280 attacchi contro obiettivi pubblici e privati, secondo i dati raccolti dalla piattaforma di monitoraggio del cybercrime eCrime.ch. Il gruppo ha colpito in passato ospedali, scuole e amministrazioni locali in diversi paesi, seguendo lo schema classico della doppia estorsione: cifratura dei sistemi, esfiltrazione dei dati e minaccia di pubblicazione in caso di mancato pagamento.
Le origini e il presunto legame con l’Europa orientale
I ricercatori che seguono l’attività di Rhysida ritengono che il gruppo operi dalla Russia o dall’Europa orientale, un dettaglio che colloca l’attacco a Berlino in un contesto geopolitico più ampio, quello della pressione informatica contro le istituzioni pubbliche dell’Unione europea. Non è la prima volta che un ente governativo tedesco finisce nel mirino di un gruppo di lingua russa, ma la combinazione tra il volume dei dati rubati e il tempismo elettorale rende questo caso particolarmente delicato.
Il modello ransomware-as-a-service
Come molti gruppi attivi nel 2026, Rhysida funziona secondo il modello ransomware-as-a-service: un nucleo di sviluppatori mantiene il malware e la piattaforma di leak, mentre affiliati esterni conducono le intrusioni vere e proprie in cambio di una quota del riscatto. Questo schema abbassa la barriera d’ingresso per i criminali informatici e spiega perché gruppi come questo riescano a colpire con una frequenza così alta, spesso più di un obiettivo alla settimana.
La cronologia dell’attacco a Berlino
Secondo la ricostruzione pubblicata da SecurityAffairs, Rhysida ha rivendicato l’intrusione nei sistemi statali berlinesi il 28 agosto 2026, pubblicando sul proprio sito un contatore alla rovescia che lascia alla città poco meno di sette giorni prima della vendita finale dei dati. La finestra si chiude quindi nei primi giorni di settembre, un tempismo che coincide con la fase calda della campagna elettorale locale.
Le autorità cittadine hanno confermato l’incidente e dichiarato che non intendono cedere al ricatto, una posizione che ricalca le linee guida raccomandate da diverse agenzie europee per la gestione degli attacchi ransomware contro enti pubblici. Il rifiuto pubblico crea un precedente che altre amministrazioni, comprese quelle italiane, osservano con attenzione: pagare un riscatto non garantisce la cancellazione dei dati, e può anzi incentivare nuovi attacchi.
I numeri della violazione
I dati esfiltrati includono contratti amministrativi, indirizzi email, numeri di telefono, password e, secondo le rivendicazioni del gruppo, anche documenti classificati. La piattaforma indipendente ransomware.live stima il volume complessivo in circa 5,79 TB distribuiti su quasi 1,44 milioni di file. Ecco un riepilogo dei numeri principali diffusi finora.
| Dato | Valore | Fonte |
|---|---|---|
| Volume dati rubati | 5,79 TB (~1,44 milioni di file) | ransomware.live |
| Contratti amministrativi esposti | circa 46.500 | Rivendicazione Rhysida |
| Prezzo di partenza asta | 30 Bitcoin | Sito leak Rhysida |
| Stima in euro (fonte Anadolu Agency) | circa 2 milioni di euro | Anadolu Agency (A-News) |
| Finestra prima della vendita | circa 7 giorni dal 28 agosto | Countdown pubblicato da Rhysida |
| Attacchi rivendicati da Rhysida dal 2023 | quasi 280 | eCrime.ch |
| Data di rivendicazione pubblica | 28 agosto 2026 | SecurityAffairs |
Va sottolineato che le cifre riportate provengono dalle dichiarazioni dello stesso gruppo criminale e dai siti di monitoraggio del leak, non da una verifica indipendente delle autorità berlinesi, che al momento della pubblicazione di questo articolo non hanno confermato l’entità esatta del materiale sottratto. Un’analisi tecnica dell’incidente pubblicata da Mallory.ai conferma comunque l’ordine di grandezza dei dati esfiltrati, in linea con quanto dichiarato da Rhysida sul proprio portale di leak.
Un ulteriore elemento da considerare riguarda la qualità dei dati esposti. A differenza di un furto di sole credenziali, la combinazione tra contratti amministrativi, email interne e password apre la strada a scenari di frode molto più articolati, dal furto d’identità nei confronti dei dipendenti pubblici fino allo spionaggio industriale verso i fornitori coinvolti nei contratti sottratti. È un mix di dati che, una volta rivenduto sul mercato criminale, resta sfruttabile per mesi o anni, ben oltre la finestra dei sette giorni fissata per l’asta.
Come funziona l’asta dei dati rubati
Il meccanismo scelto da Rhysida non è la semplice pubblicazione gratuita dei dati in caso di mancato pagamento, ma un’asta vera e propria aperta a chiunque sia disposto a offrire di più. Il prezzo di partenza di 30 Bitcoin funge da base, dopo la quale gli acquirenti nel dark web possono rilanciare fino alla scadenza del countdown. Questo modello, già usato in passato da gruppi come LockBit e Conti, trasforma il dato rubato in una merce vera e propria, separando la fase di estorsione diretta verso la vittima da quella di monetizzazione sul mercato criminale.
Per la vittima, il rischio pratico è duplice. Se nessuno compra i dati entro la scadenza, Rhysida può comunque decidere di pubblicarli gratuitamente per danneggiare la reputazione dell’ente e fare pressione su future trattative. Se invece un acquirente si fa avanti, i dati finiscono nelle mani di un attore sconosciuto, che potrebbe usarli per frodi, furti d’identità o ulteriori attacchi mirati contro dipendenti e cittadini coinvolti.
Perché Berlino ha detto no al riscatto
Le autorità della città hanno confermato pubblicamente di non voler pagare l’estorsione. La scelta ricalca l’orientamento condiviso da diverse agenzie di sicurezza europee, incluso il BSI tedesco (l’ufficio federale per la sicurezza informatica), secondo cui il pagamento di un riscatto non garantisce la restituzione o la cancellazione dei dati e alimenta il modello di business dei gruppi ransomware. È una posizione coerente con quanto raccomandato anche da CISA negli Stati Uniti: pagare non elimina il rischio di pubblicazione, perché il gruppo criminale mantiene comunque una copia del materiale rubato.
C’è poi un fattore politico che pesa sulla decisione. A pochi giorni dalle elezioni locali, un pagamento reso pubblico avrebbe potuto essere letto come un segnale di debolezza istituzionale, mentre il rifiuto permette all’amministrazione di presentarsi come ferma sulla linea della non negoziazione con i criminali informatici, un principio ormai condiviso anche da molte amministrazioni italiane dopo i casi di attacchi contro Comuni e ASL degli ultimi due anni.
Il rischio per le pubbliche amministrazioni europee
Il caso di Berlino conferma un pattern già documentato dall’ENISA Threat Landscape 2025: la pubblica amministrazione resta tra i settori più colpiti dai gruppi ransomware in Europa, insieme a sanità e istruzione. Le agenzie statali e locali gestiscono grandi quantità di dati personali dei cittadini ma spesso dispongono di budget IT limitati rispetto al settore privato, un disallineamento che i gruppi criminali sfruttano sistematicamente.
Per gli enti pubblici italiani il parallelo è diretto. Regioni, Comuni e aziende sanitarie locali condividono la stessa combinazione di fattori di rischio osservata a Berlino: sistemi legacy, personale IT sotto organico e una superficie di attacco che cresce con la digitalizzazione dei servizi ai cittadini. La direttiva NIS2, che in Italia impone obblighi di notifica e sicurezza a migliaia di soggetti pubblici e privati, nasce proprio per rispondere a questo tipo di scenario.
Confronto con l’Italia: casi simili nella pubblica amministrazione
Negli ultimi mesi l’Italia ha già vissuto episodi paragonabili, anche se con numeri diversi. Comuni, ASL e società partecipate sono finiti nel mirino di gruppi ransomware con richieste di riscatto e minacce di pubblicazione dei dati sanitari e anagrafici dei cittadini. La differenza principale rispetto a Berlino sta nella dimensione dell’ente colpito: una città-stato con oltre 3,7 milioni di abitanti gestisce sistemi molto più estesi e centralizzati rispetto a un singolo Comune italiano, ma il tipo di dato esposto (contratti, email, credenziali) è lo stesso identico bersaglio che interessa i criminali che colpiscono gli enti locali italiani.
Il messaggio per i responsabili IT della PA italiana è chiaro: la scala dell’obiettivo non è un fattore di protezione. I gruppi ransomware scelgono i bersagli in base alle vulnerabilità esposte, non solo in base alla dimensione dell’ente, e Regioni o Comuni con sistemi datati possono risultare bersagli più facili di una grande metropoli europea.
Rhysida contro gli altri gruppi ransomware attivi nel 2026
Rhysida non è il gruppo più prolifico del 2026, ma il caso di Berlino lo riporta al centro dell’attenzione mediatica. Il confronto con gli altri gruppi tracciati da Shattered.io nei mesi scorsi aiuta a inquadrare le proporzioni del fenomeno a livello europeo.
| Gruppo ransomware | Vittime rivendicate nel 2026 | Nota distintiva |
|---|---|---|
| Qilin | 701 | Gruppo più attivo per numero di vittime rivendicate |
| DragonForce | 580 | Italia al 5° posto tra i paesi più colpiti |
| Akira | 342 | Circa 244 milioni di dollari in riscatti incassati |
| Rhysida | ~280 (dal 2023) | Bersagli istituzionali, modello dell’asta pubblica dei dati |
Rispetto a Qilin, DragonForce e Akira, Rhysida colpisce con volumi inferiori ma predilige bersagli a forte visibilità istituzionale, come ospedali e amministrazioni pubbliche. È una strategia diversa: meno vittime in totale, ma un effetto mediatico e politico più marcato per singolo attacco, come dimostra proprio il caso Berlino a ridosso delle elezioni.
Il contesto storico: dalla doppia estorsione alle aste pubbliche
Il ransomware ha attraversato diverse fasi evolutive negli ultimi dieci anni. Nella prima fase, fino al 2019 circa, i criminali si limitavano a cifrare i file e chiedere un riscatto per la chiave di decrittazione. Con l’avvento della doppia estorsione, popolarizzata da gruppi come Maze e poi Conti, è arrivata anche la minaccia di pubblicazione dei dati rubati come leva aggiuntiva.
Il passo successivo, quello che Rhysida applica a Berlino, trasforma il dato rubato in un prodotto da vendere al miglior offerente invece che pubblicarlo semplicemente. Questo modello aumenta la pressione psicologica sulla vittima, perché introduce una scadenza netta e un mercato competitivo, e al tempo stesso apre un canale di monetizzazione anche quando la vittima decide di non pagare, come sta accadendo proprio in questo caso.
Testate specializzate come BleepingComputer hanno documentato negli ultimi anni la crescita costante dei siti di leak come infrastruttura permanente del crimine informatico, non più un semplice strumento di pressione temporaneo ma un vero mercato secondario dove i dati rubati circolano anche dopo la chiusura della trattativa iniziale. Il caso Berlino si inserisce in questa traiettoria e la conferma su un bersaglio istituzionale di alto profilo.
Cosa possono fare le aziende e gli enti pubblici per proteggersi
Le lezioni pratiche che emergono da un attacco come quello di Berlino riguardano soprattutto la preparazione prima dell’incidente, più che la reazione durante. I punti su cui gli esperti di incident response insistono più spesso sono pochi ma ricorrenti:
- Backup offline e testati regolarmente, separati dalla rete di produzione
- Segmentazione della rete per limitare i movimenti laterali dopo una prima intrusione
- Autenticazione a più fattori su tutti gli accessi amministrativi e da remoto
- Monitoraggio continuo dei log per individuare esfiltrazioni di grandi volumi di dati prima della cifratura
- Un piano di incident response scritto e provato, con ruoli e contatti chiari per la fase di crisi
- Policy pubblica di non pagamento dei riscatti, comunicata in anticipo per ridurre la pressione decisionale durante l’attacco
Nessuna di queste misure elimina il rischio da sola, ma insieme riducono in modo sostanziale la probabilità che un’intrusione si trasformi in un’esfiltrazione di massa come quella subita da Berlino.
L’impatto politico ed elettorale dell’attacco
Il tempismo dell’attacco, a ridosso delle elezioni locali berlinesi, non sembra casuale. Colpire un’amministrazione pubblica poco prima di un voto amplifica la copertura mediatica e mette sotto pressione i decisori politici, che devono gestire la crisi sotto i riflettori. Non è la prima volta che un attacco informatico coincide con una fase elettorale in Europa, ma il caso Rhysida-Berlino è tra i più espliciti nel legare il countdown dell’asta al calendario politico locale.
Per gli osservatori di sicurezza, questo aspetto rafforza l’ipotesi che alcuni gruppi ransomware scelgano i bersagli anche in base al valore simbolico e non solo a quello economico, un elemento che rende la difesa delle infrastrutture pubbliche europee una questione tanto politica quanto tecnica.
Previsioni: cosa aspettarsi nei prossimi mesi
Sulla base dell’andamento del 2026 e del caso Berlino, ci sono alcuni scenari plausibili per l’autunno.
- Altri enti pubblici europei, soprattutto in Germania e nei paesi con elezioni imminenti, potrebbero diventare bersagli simili nei prossimi mesi
- Il modello dell’asta pubblica dei dati rubati potrebbe diffondersi tra altri gruppi ransomware, replicando lo schema Rhysida
- L’entrata in vigore più stringente della NIS2 in Italia potrebbe portare a un aumento delle notifiche ufficiali di incidenti, rendendo più visibili attacchi che finora restavano sommersi
- È probabile un aumento della pressione politica europea per vietare o scoraggiare per legge il pagamento dei riscatti da parte di enti pubblici
- I dati rubati a Berlino, venduti o meno all’asta, potrebbero riemergere in futuri attacchi di phishing mirato contro dipendenti pubblici tedeschi
Nessuna di queste previsioni è certa, ma tutte derivano da pattern già osservati nei casi precedenti che hanno coinvolto Qilin, Akira e DragonForce in Europa nel corso dell’anno.
Domande frequenti
Chi è il gruppo ransomware Rhysida?
Rhysida è un gruppo ransomware-as-a-service comparso nel giugno 2023, ritenuto operante dalla Russia o dall’Europa orientale, che ha rivendicato quasi 280 attacchi contro obiettivi pubblici e privati.
Cosa è successo a Berlino il 28 agosto 2026?
Rhysida ha rivendicato il furto di 5,79 TB di dati dalle agenzie statali berlinesi e li ha messi all’asta sul proprio sito nel dark web, con un countdown di circa sette giorni prima della vendita.
Quanti dati ha rubato Rhysida e cosa contengono?
Secondo le stime diffuse dal gruppo e riprese da piattaforme di monitoraggio come ransomware.live, si tratta di circa 5,79 TB e 1,44 milioni di file, tra cui circa 46.500 contratti, email, numeri di telefono, password e presunti documenti classificati.
Perché Berlino ha rifiutato di pagare il riscatto?
Le autorità cittadine seguono l’orientamento condiviso da diverse agenzie di sicurezza europee secondo cui pagare non garantisce la cancellazione dei dati e alimenta il modello di business dei criminali informatici.
Come funziona l’asta dei dati rubati nel dark web?
Il gruppo fissa un prezzo di partenza, in questo caso 30 Bitcoin, e apre le offerte a chiunque nel dark web sia disposto a rilanciare fino alla scadenza del countdown pubblicato sul sito di leak.
Le pubbliche amministrazioni italiane corrono un rischio simile?
Sì. Comuni, Regioni e ASL italiane condividono gli stessi fattori di rischio osservati a Berlino, tra cui sistemi legacy e personale IT limitato, e sono già state colpite da gruppi ransomware negli ultimi mesi.
Cosa succede se nessuno acquista i dati messi all’asta?
Se l’asta non trova acquirenti entro la scadenza, il gruppo può comunque decidere di pubblicare i dati gratuitamente per danneggiare la reputazione dell’ente e fare pressione su future trattative.
Quali misure riducono il rischio di un attacco simile?
Backup offline testati regolarmente, segmentazione della rete, autenticazione a più fattori, monitoraggio continuo dei log e un piano di incident response scritto restano le difese più efficaci contro questo tipo di attacco.
