Berlín rechaza pagar 30 bitcoins por datos robados en ciberataque

Berlín investiga un ciberataque que afectó a dos agencias estatales y que, según reportes, derivó en una exigencia de BTC 30 por datos presuntamente robados. Las autoridades rechazan pagar, mientras intentan establecer qué información salió realmente de sus sistemas y cuánto del reclamo atribuido a Rhysida puede verificarse.

***

• El grupo de ransomware Rhysida habría exigido BTC 30, valorados en aproximadamente EUR 2 millones, y amenazó con publicar datos sustraídos.
• Berlín reconoció que información no pública resultó afectada, aunque todavía no confirma el volumen ni las categorías de archivos comprometidos.
• Dos agencias estatales fueron desconectadas temporalmente de la red gubernamental, mientras fiscales y policías investigan la intrusión.

 

---

 

Las autoridades de Berlín investigan un ciberataque que afectó a dos agencias estatales y que habría desembocado en una demanda de rescate por 30 bitcoins (BTC), valorados en aproximadamente EUR 2 millones.

El grupo de ransomware Rhysida supuestamente amenazó con publicar información robada si el gobierno estatal no pagaba, pero Berlín rechazó la exigencia y todavía no confirma el alcance real de la intrusión.

El caso combina una interrupción operativa, un posible robo de información no pública y una disputa sobre la credibilidad de las afirmaciones hechas en la dark web. Crypto.news reportó que la Cancillería del Senado de Berlín mantiene reservados los detalles sobre los atacantes, sus exigencias y los archivos presuntamente sustraídos, debido a que la investigación continúa activa.

Berlín rechaza la extorsión en Bitcoin

El alcalde de Berlín, Kai Wegner, confirmó después de una reunión especial del Senado que el estado enfrentaba un intento de extorsión derivado del ataque informático. Sin identificar públicamente a los responsables ni mencionar el monto exigido, declaró: “El estado de Berlín no se dejará chantajear”. La senadora del Interior, Iris Spranger, lo acompañó durante la comunicación oficial.

El pronunciamiento se produjo mientras funcionarios estatales examinaban qué información pudo abandonar los sistemas gubernamentales. La Cancillería del Senado advirtió que no comentaría detalles sobre los atacantes, la demanda o la información potencialmente sustraída, porque revelar esos elementos podría afectar las diligencias policiales y fiscales.

El monto de 30 BTC proviene de reportes de la revista alemana Der Spiegel y de información que el propio grupo habría publicado en su sitio de filtraciones. Fuentes de seguridad citadas por esa publicación identificaron supuestamente a Rhysida como responsable, aunque las autoridades de Berlín no han verificado de manera independiente ni la identidad del atacante ni todos los elementos de su reclamo.

A los precios mencionados en los reportes, la exigencia equivaldría a cerca de EUR 2 millones. Rhysida también habría afirmado que obtuvo casi seis terabytes de datos —una cifra reportada también como 5,79 terabytes—, pero esa cantidad representa una alegación del grupo y no una medición confirmada por el gobierno berlinés, que aún intenta determinar qué archivos fueron accedidos, copiados o eliminados.

Dos agencias quedaron fuera de la red estatal

El ataque fue reportado públicamente a mediados de agosto y afectó al Departamento del Senado de Desarrollo Urbano, Construcción y Vivienda, así como al Departamento del Senado de Movilidad, Transporte, Protección Climática y Medio Ambiente. Para contener el incidente, ambas entidades quedaron temporalmente separadas de la red estatal de Berlín durante aproximadamente una semana.

La desconexión produjo interrupciones en algunos servicios administrativos, incluidos trámites relacionados con subsidios de vivienda. Informes de medios alemanes señalaron que los residentes no pudieron solicitar ni recibir temporalmente esas ayudas mientras los sistemas afectados permanecían aislados, una consecuencia práctica que amplió el impacto del ataque más allá de las oficinas gubernamentales.

Los investigadores todavía intentan establecer cuándo comenzó la intrusión y cuánta información salió de la red. Reportes vinculados con la investigación indicaron que los datos pudieron extraerse entre el 7 y el 12 de agosto, varios días antes de que los funcionarios detectaran la actividad maliciosa, aunque Berlín no ha presentado una reconstrucción pública definitiva de la secuencia.

La Oficina de Policía Criminal del Estado de Berlín y los fiscales asumieron la investigación para identificar a los responsables y precisar el alcance de la brecha. Wegner dijo que las autoridades estatales y federales colaboraban en esa tarea, mientras Spranger aseguró que el incidente no comprometió los preparativos para las elecciones estatales del 20 de septiembre y describió la infraestructura electoral como totalmente segura.

El alcance del robo todavía no está confirmado

La evaluación oficial del incidente cambió durante la investigación. En un primer momento, los funcionarios dijeron que solo se había comprometido información de acceso público, pero la Cancillería del Senado reconoció posteriormente que también resultaron afectados datos no públicos. Ese cambio impide tratar el episodio como una simple interrupción técnica y mantiene abierta la posibilidad de consecuencias para personas, contratos y operaciones administrativas.

Rhysida habría enumerado entre los archivos obtenidos información sobre decenas de miles de procedimientos por infracciones administrativas, contratos, contraseñas, credenciales de inicio de sesión, planes de emergencia y documentos vinculados con infraestructura crítica. Sin embargo, Berlín no ha confirmado de forma independiente esa lista ni ha establecido si todos esos tipos de documentos estuvieron dentro de los sistemas comprometidos.

La diferencia entre una amenaza publicada por un grupo de ransomware y una filtración verificada resulta central para valorar el incidente. Los atacantes pueden exagerar el volumen o la sensibilidad de los datos para aumentar la presión sobre una víctima, mientras las autoridades suelen limitar sus declaraciones para no revelar pistas, exponer sistemas vulnerables o perjudicar el trabajo forense.

Por ahora, la Cancillería del Senado tampoco ha confirmado si los investigadores verificaron la demanda de BTC 30, los casi seis terabytes supuestamente extraídos o cada una de las categorías de información mencionadas por Rhysida. El gobierno sí reconoció la afectación de información no pública y mantiene la búsqueda de evidencia que permita separar los hechos comprobados de las afirmaciones del grupo.

Ransomware, Bitcoin y trazabilidad

Rhysida apareció en 2023 y ha sido vinculado con ataques contra organismos gubernamentales, organizaciones de salud y otras instituciones de distintos países. Entre las entidades que se le atribuyen figuran la Biblioteca Británica y el Ejército de Chile, en operaciones que suelen combinar la intrusión en redes con la amenaza de publicar información para presionar por un pago.

Bitcoin aparece con frecuencia en este tipo de extorsiones porque los atacantes pueden dirigir los fondos a direcciones de una cadena de bloques sin recurrir directamente a cuentas bancarias convencionales. Esa característica no vuelve anónimas las operaciones: las transacciones quedan registradas públicamente y los investigadores pueden seguir los movimientos entre direcciones, estudiar patrones y relacionarlos con servicios o individuos.

La trazabilidad tampoco garantiza que una víctima recupere sus fondos o que la identidad del atacante quede expuesta de inmediato. Aun así, las agencias de seguridad han incautado criptomonedas vinculadas con operaciones de ransomware en casos anteriores, utilizando análisis de cadena de bloques junto con información de exchanges, infraestructura digital y otras evidencias.

El riesgo operativo también explica por qué muchas instituciones aíslan sistemas completos mientras revisan sus redes. Desconectar una agencia puede ralentizar trámites y servicios, pero permite limitar la propagación del malware, preservar indicios y evitar que un atacante mantenga acceso a otros departamentos conectados a la misma infraestructura.

Un problema que trasciende a Berlín

El episodio berlinés sigue a otros ataques contra instituciones públicas en los que los delincuentes utilizaron Bitcoin como parte de sus exigencias. En julio, un grupo tomó el control del sitio web oficial del presidente de Kenia, William Ruto, y reclamó BTC 5 mientras amenazaba con divulgar información no especificada; las autoridades restringieron temporalmente el acceso y abrieron una investigación.

En aquel caso, la Autoridad de Tecnologías de la Información y las Comunicaciones de Kenia dijo que no había encontrado evidencia de acceso, robo o pérdida de información sensible. La comparación ilustra por qué una demanda de criptomonedas no demuestra por sí sola que los atacantes posean todos los datos que dicen haber obtenido, aunque la amenaza siga requiriendo una respuesta técnica y judicial.

Las autoridades estadounidenses también han recuperado fondos asociados con grupos de ransomware. En agosto de 2025, incautaron USD $1.090.000 en criptomonedas vinculadas a BlackSuit, además de cuatro servidores y nueve dominios; el grupo había sido relacionado con más de 450 víctimas conocidas en Estados Unidos y con demandas de rescate superiores a USD $370.000.000 desde 2022.

En otro caso, una víctima pagó BTC 49,3 en 2023 y los investigadores recuperaron posteriormente parte de ese monto, según el Departamento de Justicia de Estados Unidos. Además, fiscales federales acusaron en julio a Peter Stokes, de 19 años, por una presunta intrusión corporativa y una demanda de rescate en criptomonedas por USD $8.000.000 que no tuvo éxito, dentro de una investigación sobre técnicas atribuidas a Scattered Spider.

La investigación de Berlín continuará centrada en identificar a los responsables y verificar qué información quedó expuesta, mientras las agencias afectadas evalúan las consecuencias de la intrusión. Hasta que las autoridades publiquen una conclusión forense, la demanda de BTC 30 y el supuesto robo de casi seis terabytes deben considerarse alegaciones no confirmadas, aunque el reconocimiento de datos no públicos afectados mantiene elevado el nivel de preocupación.

---

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA.