O governo da cidade-estado alemã de Berlim confirmou nesta segunda-feira (31) que não pagará resgate ao grupo criminoso Rhysida, após o ataque cibernético resultar na exfiltração de mais de 5 terabytes de dados. A decisão reforça uma tendência crescente entre administrações públicas europeias de priorizar a recuperação de sistemas e a conformidade legal em detrimento do pagamento de extorsões digitais.
Escopo do incidente e impacto governamental
A campanha de ransomware identificada como Rhysida atingiu infraestruturas críticas ligadas à administração municipal. O grupo criminoso alegou ter acessado bancos de dados contendo informações pessoais de cidadãos, credenciais de funcionários públicos e registros administrativos sensíveis. O volume estimado de dados roubados, superior a 5TB, representa um dos maiores vazamentos documentados contra entidades governamentais na Europa no último trimestre.
Segundo relatórios preliminares de segurança, os atacantes utilizaram técnicas de movimentação lateral para expandir o acesso dentro da rede corporativa antes de iniciar a criptografia e a extração de dados. A persistência foi mantida através de backdoors instalados em servidores de backup, dificultando a limpeza completa do ambiente comprometido.
Implicações regulatórias e LGPD
O incidente levanta questões imediatas sobre conformidade com o Regulamento Geral de Proteção de Dados (GDPR) e leis locais de proteção de dados na Alemanha. A exposição de dados pessoais exige notificação às autoridades competentes e aos afetados dentro dos prazos legais estabelecidos, geralmente 72 horas após a descoberta.
Para organizações brasileiras, o caso serve como alerta sobre as implicações da Lei Geral de Proteção de Dados (LGPD). Embora a decisão de não pagar seja estratégica, a responsabilidade pela gestão do incidente e a mitigação de danos aos titulares de dados permanecem sob a ótica das sanções administrativas.
Estratégia de resposta e recuperação
A equipe de segurança da informação de Berlim iniciou imediatamente o processo de isolamento dos sistemas afetados e ativação de planos de contingência. A estratégia foca na restauração de backups limpos e na reconfiguração segura das redes internas.
Analistas recomendam que CISOs revisem seus próprios protocolos de resposta a incidentes, garantindo que existam procedimentos claros para comunicação com stakeholders, autoridades reguladoras e equipes jurídicas durante crises de ransomware.
Linha do tempo do ataque
- Dia 1: Acesso inicial via phishing direcionado a contas de administrador.
- Dia 3: Movimentação lateral detectada por ferramentas de monitoramento interno.
- Dia 5: Início da criptografia de arquivos críticos e exfiltração de dados.
- Dia 6: Notificação pública do grupo Rhysida e exigência de pagamento.
- Dia 7: Governo de Berlim anuncia recusa ao pagamento e início da investigação forense.
O que fazer agora
Organizações devem revisar suas políticas de backup, garantindo que cópias offline estejam disponíveis e testadas regularmente. Além disso, é crucial implementar autenticação multifator (MFA) em todos os pontos de acesso remoto e privilegiado para reduzir a superfície de ataque.