Berlin yönetimi, şehir devlet ağına sızan saldırganların ele geçirdiği veriler için fidye ödemeyeceğini açıkladı. Başkentteki siber olay, ilk olarak 7 Ağustos’ta fark edildi; ardından 14 Ağustos’ta Berlin’in devlet ağına bağlı etkilenen birimler ağdan izole edildi. Yapılan adli incelemeler, 7 Ağustos ile 12 Ağustos 2026 arasında Senato’nun Ulaştırma, Hareketlilik, İklim Koruma ve Çevre Dairesi’nde ek veri çıkışları olduğunu da ortaya koydu. Aynı açıklamaya göre sızıntının kapsamı ve içeriği hâlâ inceleniyor.
Berlin Senato Şansölyeliği, alınan verilerin kapsamı ve içeriğinin hâlâ incelendiğini, kişisel ya da başka kamuya açık olmayan bilgilerin dışarı çıkmış olma ihtimalinin dışlanamadığını belirtti. Kent yönetimi, ağdan tam olarak ne kadar veri sızdığını ise açıklamadı. Dolaşımdaki tek somut sayı, saldırganların 28 Ağustos’ta kendi sızıntı sayfalarında yayımladığı iddialar oldu: Grubun, 5,79 terabayt veri ve 12.076 kişiye ait kişisel bilgi ele geçirdiğini öne sürdüğü görülüyor. Berlin’in şimdiye kadar yayımladığı iki açıklamada, verileri arasında adı geçen kişiler için herhangi bir yönlendirme de yer almadı.
Berlin Belediye Başkanı Kai Wegner, Rotes Rathaus’ta yapılan olağanüstü Senato toplantısının ardından kentin şantaj altında olduğunu söyledi. Kent portalında yer alan makine çevirili İngilizce sürümde bu ifade açıkça aktarıldı. Senato Şansölyeliği’nin açıklamasına göre, olayla bağlantılı olarak eyalet kriminal polisi, savcılık ve federal güvenlik makamları birlikte çalışıyor; saldırının arkasındaki gruba ilişkin resmi bir teşhis ise henüz yapılmadı. Şansölyelik ayrıca Berlin’in eyalet veri koruma komiseri ile Federal Bilgi Güvenliği Ofisi’nin (BSI) düzenli biçimde bilgilendirildiğini bildirdi.
Sızıntı sitesinde Rhysida izi
Alman basınında yer alan bilgilere ve saldırı sonrası yayımlanan sızıntı sitesi kaydına göre atıf, ilk kez 28 Ağustos’ta Rhysida grubuna yöneldi. Der Spiegel, bu atfı grubun darknet sızıntı sitesindeki bir kayda ve müdahale sürecine dahil güvenlik kaynaklarına dayanarak aktardı. The Hacker News ise 29 Ağustos’ta bir sızıntı izleme hizmeti üzerinden, Rhysida’nın sızıntı sitesine 28 Ağustos’ta “Berlin, Germany” başlıklı bir giriş eklendiğini doğruladı. Kayıtta fidye tutarı yer almadı; bunun yerine grubun 5,79 terabayt veri taradığı ve yaklaşık 1,44 milyon dosyaya ulaştığı iddia edildi.
Girişte mağdur taraf, tek tek bir senato birimi ya da daire olarak değil, doğrudan “Berlin, Germany” şeklinde tanımlandı. Dosya sınıfları arasında en büyük payı 124.823 harita ve coğrafi veri dosyası oluşturuyor. Rhysida’nın saydığı 11 kategori, toplam dosya iddiasının yaklaşık dörtte birini kapsıyor. Berlin yönetimi ise kendi açıklamalarında saldırganların iddialarını doğrulayan bir sayı paylaşmadı. Kentin resmi açıklamalarında, ağdan ne kadar veri çıktığına ilişkin başka bir kalemli döküm de yer almadı.
Şansölyelik, Berlin’in eyalet veri koruma komiserinin ve Federal Bilgi Güvenliği Ofisi’nin (BSI) süreçten düzenli olarak haberdar edildiğini bildirdi. Buna karşın 29 Ağustos itibarıyla Berlin Veri Koruma ve Bilgi Edinme Özgürlüğü Komiseri’nden olayla ilgili kamuya açık bir açıklama görülmedi. İçişleri Senatörü Iris Spranger ise 20 Eylül’de yapılacak Abgeordnetenhaus seçimine ilişkin alanlardan henüz veri çıkmadığını, güvenlik ekiplerinin seçim ortamını güvenli değerlendirdiğini söyledi. Spranger, mevcut tabloya göre seçim sürecini ilgilendiren bölümlerden veri sızmadığını da ekledi.
Saldırganların yöntemi: VPN, kimlik bilgisi ve phishing
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), FBI ve Çok Eyaletli Bilgi Paylaşım ve Analiz Merkezi’nin (MS-ISAC) Rhysida için yayımladığı ortak uyarı, grubun başlangıç erişimi için kullandığı yolları ayrıntılandırıyor. Kurumların kaydına göre saldırganlar, dışa açık uzaktan erişim servislerindeki geçerli hesapları kullanarak iç ağa giriyor. Özellikle çok faktörlü kimlik doğrulamanın varsayılan olarak devreye alınmadığı kurumsal ortamlarda, ele geçirilmiş geçerli kimlik bilgileriyle iç sanal özel ağ noktalarına bağlanabildikleri belirtiliyor. Bu yöntem, savunma tarafında da aynı giriş noktalarının incelenmesi açısından kurumların dikkatini çeken yollar arasında yer alıyor.
Ortak uyarıda ayrıca Zerologon olarak bilinen CVE-2020-1472 açığına da yer veriliyor. Microsoft’un 11 Ağustos 2020’de yamaladığı bu açık, Netlogon Remote Protocol üzerinden yetki yükseltmeye izin veriyordu. Kurumlar, phishing kampanyalarının da Rhysida operatörleri için başarılı bir ilk giriş yöntemi olarak kayda geçtiğini vurguluyor. Uyarı 2023 Kasım’ına dayanıyor; kurumlar o tarihte grubu ilk kez çift aşamalı fidye saldırılarıyla ilişkilendirerek kamuoyunu bilgilendirmişti. Aynı belgede, bu taktiklerin farklı kurumlarda tekrar tekrar kullanıldığına işaret eden kayıtlar da yer alıyor.
Aynı belgede FBI ve CISA’nın fidye ödemeyi teşvik etmediği açıkça yazıyor. Gerekçe olarak da ödemenin verilerin geri dönmesini garanti etmemesi ve saldırganları daha fazla kurumu hedef almaya cesaretlendirebilmesi gösteriliyor. Kurumların önerileri arasında bilinen ve aktif sömürülen açıkların hızla kapatılması, tüm servislerde çok faktörlü kimlik doğrulamanın açılması ve fidye yazılımının ağ içinde yayılmasını engellemek için segmentasyon yapılması yer alıyor. Ortak uyarı, bu adımların Rhysida’nın kullandığı erişim yollarına karşı önem taşıdığını not ediyor.
Belgede, Microsoft’un Storm-0832 olarak izlediği Vice Society ile Rhysida operatörleri arasında açık kaynak raporlarında görülen benzerlikler de anılıyor. Check Point’in 2023’te ortaya koyduğu bu örtüşme, saldırı grubunun kökeni ve taktikleri konusunda uzun süredir takip edilen tartışmalardan biri olarak kayda geçmişti. Ortak değerlendirmede, Vice Society ile Rhysida arasında gözlenen benzerliklerin açık kaynak raporlarına da yansıdığı belirtiliyor.
Karanlık ağ izleme hizmetinin 29 Ağustos itibarıyla listesinde 280 Rhysida kurbanı yer alıyordu. Bunların dokuzu Almanya’da bulunuyor. Listede Mayıs 2026’da Stuttgart belediyesi ve Haziran 2025’te Welthungerhilfe de var. Kayıtlarda ayrıca Seattle-Tacoma Uluslararası Havalimanı’nı işleten Port of Seattle da yer alıyor; bu giriş Eylül 2024’te dizine eklenmişti. İzleme hizmeti, Rhysida’ya bağlanan bu kayıtların tarihlerini ve kurban sayılarını da ayrıca listeliyor.
Berlin, 17 Ağustos’ta olayı ilk kez duyurarak eyalet ağına sızıldığını, etkilenen iki dairenin de önceki Cuma gününden beri izole edildiğini açıklamıştı. 19 Ağustos’taki basın toplantısında Wegner, olayın ciddi olduğunu ve öyle kalmaya devam ettiğini söylemiş, mevcut bilgiye göre hassas veri sızıntısı görmediklerini belirtmişti. Ancak daha sonra yapılan adli analizler, en azından Ulaştırma, Hareketlilik, İklim Koruma ve Çevre Dairesi’nde ek veri çıkışları bulunduğunu ortaya koydu. Senato’nun ilk iki açıklamasında, olaya ilişkin verileri arasında kimlerin bulunabileceğine dair bir yönlendirme yapılmadı.
İki daire ağdan çıktığı süre boyunca konut yardımı başvuruları ve ödemeleri çalışmadı. Senato’ya bağlı tüm birimler 23 Ağustos’ta yeniden ağa bağlandı; buna karşın adli inceleme ve eyalet ağı taramaları hâlâ sürüyor. Şansölyelik, Berlin’in eyalet veri koruma komiseri ile BSI’nın bilgilendirmeye devam edildiğini bildirdi. The Hacker News, 29 Ağustos itibarıyla Berlin Veri Koruma ve Bilgi Edinme Özgürlüğü Komiseri’nden bir açıklama bulunmadığını da aktardı.
Manchester havalimanları da veri ihlalini doğruladı
Berlin’deki olayla eş zamanlı olarak, Manchester Airports Group da müşteri verilerinin çalındığını açıkladı. Manchester, Londra Stansted ve East Midlands havalimanlarını işleten grup, 27 Ağustos’ta yaptığı duyuruda yetkisiz bir üçüncü tarafın otopark, lounge ve Fast Track rezervasyonları ile havalimanı içi WiFi kayıtlarına ilişkin müşteri bilgilerine eriştiğini söyledi. Erişimin, MAG’in kendi ifadesine göre şirketten ayrı bir sistem üzerinden gerçekleştiği belirtildi.
Şirket, “hiçbir aşamada yolcu güvenliğinin ya da havacılık güvenliğinin tehlikeye girmediğini” vurguladı. Açıklamaya göre havalimanı operasyonları ve müşteri otopark hizmetleri normal şekilde çalışmayı sürdürüyor. MAG’in paylaştığı bilgilere göre ele geçirilen veriler arasında e-posta adresleri, telefon numaraları, araç plaka bilgileri ve posta kodları bulunuyor. Şirket, ne kendisinin ne de erişilen sistemin banka ya da ödeme bilgilerini tuttuğunu belirtti.
MAG’in müşteri bilgilendirme sayfası, olayın operasyonel havalimanı sistemlerini kapsamadığını ve yolcuların seyahat planlarını olağan şekilde sürdürmesi gerektiğini söylüyor. 29 Ağustos itibarıyla çevrim içi Manage My Booking hizmeti tedbir amaçlı askıya alındı. Önümüzdeki 72 saat içinde yapılması gereken rezervasyon değişiklikleri, hafta içi 09.00 ile 17.00 arasında 0208 163 8001 numaralı müşteri hizmetleri hattı üzerinden yönetiliyor. Şirket, bu değişikliklerin müşteri hizmetleri tarafından ele alınacağını da duyurdu.
Basına konuşan bir şirket sözcüsüne dayandırılan yaklaşık 8,7 milyon etkilenen müşteri sayısı geniş biçimde dolaşsa da, MAG’in kendi açıklamalarında kesin bir sayı yer almıyor. Şirket, etkilenen müşterilere doğrudan ulaştığını ve onları Birleşik Krallık Ulusal Siber Güvenlik Merkezi’nin (NCSC) veri ihlali rehberine yönlendirdiğini bildirdi. Uyarıda, kullanıcıların şüpheli e-postalar, SMS’ler ve telefon aramalarına karşı dikkatli olması istendi. MAG’in açıklamasında, veri ihlalinin uçuş operasyonları ya da havalimanı güvenliğiyle bağlantılı olmadığı özellikle tekrarlandı.