O estado federado de Berlim tornou-se, em poucas semanas, o rosto europeu do risco cibernético que pesa sobre a administração pública. Depois de um incidente detetado a 14 de agosto de 2026 na rede informática estatal, que obrigou a isolar duas secretarias do Senado, o caso escalou para uma tentativa de extorsão pública: o grupo de ransomware Rhysida afirma ter exfiltrado 5,79 terabytes de dados e colocou-os em leilão na dark web, com licitação inicial de 30 bitcoin — cerca de dois milhões de euros. As autoridades berlinenses recusaram pagar.
Resposta rápida: A administração de Berlim sofreu um ataque informático detetado a 14 de agosto de 2026, com exfiltração de dados iniciada dias antes. O grupo Rhysida reivindicou o ataque, exige 30 bitcoin (cerca de dois milhões de euros) e ameaça leiloar ou publicar os ficheiros; o Senado recusou pagar. Para organizações portuguesas, a lição prática é imediata: MFA em todos os acessos remotos, correção de vulnerabilidades exploradas, segmentação de rede e cópias de segurança imutáveis e testadas.
O que aconteceu na rede do estado de Berlim
A primeira comunicação oficial da Chancelaria do Senado berlinense foi contida: referiu que foram desencadeadas de imediato medidas de segurança da rede estatal e que as secretarias de Estado do Desenvolvimento Urbano, Construção e Habitação e da Mobilidade, Transportes, Proteção Climática e Ambiente foram isoladas da rede por razões de segurança. Foi ainda constituído um gabinete de crise para incidentes TIC, dirigido pelo responsável estatal pela segurança da informação, encarregado de coordenar as medidas de contenção e as investigações forenses em curso.
O caso foi remetido às autoridades competentes desde cedo: segundo a Chancelaria do Senado, foram envolvidos a Polícia Judiciária estadual (LKA), o Ministério Público de Berlim e o BSI, a autoridade federal alemã para a segurança da informação, tendo sido aberto um inquérito criminal. O impacto no serviço público foi visível para os cidadãos: os serviços relacionados com o subsídio de habitação ficaram indisponíveis, tanto para pedidos como para pagamentos, com a administração a trabalhar sob pressão para garantir os pagamentos.
A avaliação inicial revelou-se otimista. Numa conferência de imprensa, o presidente da Câmara, Kai Wegner, afirmou que Berlim tinha sido vítima de um ataque informático, mas que, com o conhecimento então disponível, não teriam sido exfiltrados dados sensíveis. Dias depois, a posição mudou: passou a admitir-se que dados pessoais ou outros dados não públicos poderiam estar afetados.
Cronologia do incidente
| Data (2026) | Acontecimento |
|---|---|
| 7 a 12 de agosto | Período em que, segundo as investigações, ocorreu a fuga de dados; o acesso não autorizado só foi detetado a 14 de agosto. |
| 14 de agosto | Deteção do ataque à rede estatal através de análise forense; as duas secretarias afetadas são separadas preventivamente do restante da rede. |
| 19 de agosto | LKA, Ministério Público e BSI envolvidos; a senadora do Interior, Iris Spranger, garante que as eleições de 20 de setembro não estão em risco. |
| 23 de agosto | Wegner anuncia que todas as secretarias voltaram a estar ligadas à rede estatal e operacionais. |
| 27–28 de agosto | A estação RBB noticia a receção de exigências de resgate; Wegner e Spranger declaram publicamente que o estado de Berlim não cede a extorsão. |
| 28 de agosto | O grupo de ransomware anuncia o leilão dos dados alegadamente roubados a organismos berlinenses e a cidade recusa pagar. |
O que os atacantes dizem ter em mãos
As reivindicações de grupos de extorsão devem ser sempre lidas com reserva — fazem parte da estratégia de pressão. Ainda assim, o inventário publicado é invulgarmente detalhado. No seu site, o Rhysida — que investigadores situam na Rússia ou na Europa de Leste — afirma ter obtido 5,79 terabytes de dados, incluindo 46.500 contratos, além de endereços de correio eletrónico, números de telefone, palavras-passe e informação classificada, colocando o conjunto em leilão com licitação inicial de 30 bitcoin e um contador de cerca de sete dias. O lote incluiria ainda cerca de 80.000 documentos de processos contraordenacionais e 6.000 registos de credenciais de acesso.
Do lado oficial, a linha é firme. Wegner declarou que o Senado não se deixa extorquir e não cederá às exigências, num caso classificado oficialmente como o maior incidente cibernético da história da capital alemã. De acordo com informações do Tagesspiegel, as autoridades dispõem de indícios sobre um grupo já conhecido por ataques semelhantes, não havendo, para já, sinais de envolvimento de atores estatais. O apuramento sobre se — e em que medida — os dados foram efetivamente exfiltrados continua em curso.
Quem é o Rhysida e como costuma entrar
O Rhysida não é um nome novo para quem acompanha ameaças. Trata-se de uma operação ativa desde maio de 2023, dirigida sobretudo aos setores da educação, saúde, indústria transformadora, tecnologias de informação e administração pública. Fontes abertas confirmam que funciona em modelo de ransomware como serviço (RaaS), com ferramentas e infraestrutura alugadas e partilha de receitas com afiliados. Segundo a plataforma de investigação eCrime.ch, o grupo reivindicou perto de 280 ataques desde que emergiu, com alvos recorrentes em instituições públicas, como a British Library em outubro de 2023. Nesse caso, a biblioteca recusou pagar e o grupo publicou cerca de 500.000 ficheiros na dark web com dados pessoais de visitantes, assinantes e pessoal.
| Vetor / indicador | Detalhe |
|---|---|
| Acesso inicial | Serviços remotos expostos, como VPN, exploração da vulnerabilidade Zerologon (CVE-2020-1472) e campanhas de phishing, segundo o aviso conjunto FBI/CISA/MS-ISAC. |
| Evasão | Técnicas de living-off-the-land, misturando-se com processos legítimos do Windows para escapar à deteção. |
| Contacto com vítimas | Contas Onion Mail no formato [Nome][Apelido]@onionmail[.]org. |
| Pressão sobre a vítima | Janela típica de sete dias antes da publicação integral, para forçar decisões rápidas. |
| Aviso de referência | Alerta #StopRansomware: Rhysida (AA23-319A), publicado em novembro de 2023 e atualizado a 30 de abril de 2025 com novos IOC. |
Mitigações concretas recomendadas
- Priorizar a correção de vulnerabilidades ativamente exploradas, ativar autenticação multifator em todos os serviços possíveis — sobretudo webmail, VPN e contas com acesso a sistemas críticos — e segmentar redes para travar a propagação.
- Manter cópias de segurança offline ou imutáveis e testar regularmente a velocidade de restauro, não apenas o sucesso do backup.
- Reforçar a monitorização com EDR para PowerShell suspeito e recolha de credenciais, e aplicar privilégio mínimo às contas administrativas.
- Ensaiar o plano de resposta a incidentes com as equipas jurídica e de comunicação, prevendo desde logo os prazos de notificação a autoridades e titulares dos dados.
Porque é que isto importa em Portugal
O caso berlinense ilustra três dinâmicas que se aplicam integralmente à realidade nacional. A primeira é o desfasamento entre intrusão e deteção: os dados terão começado a sair vários dias antes de alguém dar por isso. A segunda é a evolução da narrativa pública — de «não há dados sensíveis» para «poderá haver dados pessoais afetados» —, um erro de comunicação frequente que corrói a confiança e complica o cumprimento de obrigações legais. A terceira é a mudança de modelo do crime: quando o objetivo é a exfiltração e o leilão, e não apenas a cifra dos sistemas, restaurar cópias de segurança não resolve o problema.
Para entidades públicas e privadas em Portugal, o enquadramento é claro. O Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025 e que transpõe a diretiva NIS2, impõe às entidades abrangidas — incluindo administração pública e vários setores essenciais e importantes — deveres de gestão de risco, de comunicação de incidentes significativos ao CNCS/CERT.PT e de responsabilização dos órgãos de gestão. Um cenário como o de Berlim, com paragem de serviços a cidadãos e suspeita de fuga de dados, cairia tipicamente nessa obrigação de notificação, com prazos apertados a contar da tomada de conhecimento.
Em paralelo, quando há dados pessoais envolvidos, aplica-se o RGPD: notificação à CNPD em 72 horas sempre que exista risco para os direitos e liberdades dos titulares e, nos casos de risco elevado, comunicação às próprias pessoas afetadas. Para as PME, a mensagem é a mesma que os avisos internacionais repetem há anos: a maioria destes ataques não começa com uma técnica exótica, mas sim com uma VPN sem MFA, uma credencial reutilizada ou um servidor por atualizar. E o exemplo de Berlim mostra que, mesmo com a decisão política de não pagar — a recomendação padrão das autoridades —, o custo reputacional e operacional pode prolongar-se por meses.
Perguntas frequentes
Que dados foram roubados no ataque a Berlim?
Os atacantes afirmam ter 5,79 terabytes de informação, incluindo dezenas de milhares de contratos, processos contraordenacionais, contactos e credenciais. Trata-se de reivindicações do próprio grupo criminoso, ainda em verificação pelas autoridades alemãs, pelo que os números devem ser lidos com cautela.
Berlim vai pagar o resgate exigido?
Não. O presidente da Câmara, Kai Wegner, e a senadora do Interior, Iris Spranger, declararam publicamente que o estado de Berlim não cede a extorsão e que não pagará os cerca de dois milhões de euros exigidos em bitcoin.
O que é o grupo Rhysida?
É uma operação de ransomware como serviço ativa desde 2023, que ataca sobretudo educação, saúde, indústria, tecnologia e administração pública. O FBI, a CISA e o MS-ISAC publicaram um aviso dedicado com as suas táticas e indicadores de compromisso, atualizado em 2025.
O que deve fazer uma organização portuguesa para reduzir este risco?
Ativar autenticação multifator em VPN, webmail e contas privilegiadas, corrigir vulnerabilidades conhecidas, segmentar a rede, manter cópias de segurança imutáveis e testadas, e ter um plano de resposta que inclua a notificação ao CNCS e à CNPD quando aplicável.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Chancelaria do Senado de Berlim, pelas autoridades alemãs, pelo aviso conjunto FBI/CISA/MS-ISAC sobre o Rhysida e por comunicação social internacional.