ベルリン州政府、行政ネットワークへのサイバー攻撃とデータ窃取被害を公表　身代金要求は拒否の方針

要点

• ドイツのベルリン州政府は、行政ネットワークがサイバー攻撃を受けデータ窃取を伴う脅迫を受けていることを公表し、金銭要求には一切応じない方針を明らかにした。

• 被害を受けたモビリティ・交通・気候保護・環境省からは2026年8月上旬にデータが外部流出しており、攻撃者側は約5.79TBのデータと1万2,000人超の個人情報を保持していると主張している。

• 捜査当局は犯行グループを公表していないが、ダークネットのリークサイト情報などからランサムウェア組織「Rhysida」の関与が報じられている。

• 州当局は9月20日に予定されている州議会選挙に関連するシステムへの影響はなく、選挙環境の安全性は維持されていると説明している。

• ドイツのベルリン州政府は2026年8月、州の行政ネットワークがサイバー攻撃を受け、窃取されたデータを盾にした恐喝の標的となっていることを確認した。州政府は攻撃者の要求には屈しない姿勢を明確にしており、身代金の支払いを拒否する方針を示している。

• 州のフォレンジック調査（サイバー攻撃の痕跡や原因を調査・分析する技術）によって一部部門からのデータ流出が判明しており、治安当局と連携した捜査と影響範囲の確認が進められている。

行政ネットワークへの侵入発覚と州政府の対応

ベルリン州政府の発表によると、今回のインシデントでは州の「モビリティ・交通・気候保護・環境省」のネットワークからデータが外部へ流出していたことが判明した。流出期間は2026年8月7日から8月12日の間と特定されている。

同部門では8月7日に最初のデータ流出が検知され、その7日後となる8月14日にネットワークから遮断された。州政府は8月17日にネットワーク侵害の事実を公表し、該当する部門を隔離して調査を行っていることを明らかにしていた。

ベルリン市のカイ・ヴェグナー市長は特別上院会議の後、「ベルリン州は脅迫を受けている」と述べ、恐喝には応じない姿勢を強調した。現在、州刑事警察、検察、連邦保安当局が連携して容疑者の特定に向けた捜査を進めている。州政府の公式声明では特定の犯行グループ名は挙げられていない。

州政府は流出したデータの具体的な容量や件数を公表していないが、個人情報や非公開データが含まれている可能性は否定できないとしている。なお、8月29日時点で対象となる市民への個別ガイダンスなどは出されていない。

攻撃者側の主張と流出データの規模

州政府が流出規模の公表を控える一方、ダークネット上のリークサイトには2026年8月28日、「Berlin, Germany」と題した犯行声明が登録された。

攻撃者側の投稿によると、スキャンしたデータ量は5.79TB、ファイル数は約144万件に上り、12,076人分の個人情報が含まれていると主張されている。公開された11のファイル分類のうち最も大きな割合を占めるのは124,823件の地図・地理データ（ジオデータ）であり、これだけで主張されている全ファイル数の約4分の1を占めている。なお、投稿内に具体的な要求金額の記載は確認されていない。

ドイツの報道機関Der Spiegelは、リークサイトの投稿や対応に携わる治安当局筋の情報をもとに、本件の背後にランサムウェアグループ「Rhysida（リサイダ）」が存在すると報じている。

関与が報じられる「Rhysida」の手口と過去の被害

Rhysidaは、ランサムウェア（データを暗号化して利用不能にし復旧と引き換えに金銭を要求する不正プログラム）を用いて、データの暗号化と窃取データの公開脅迫を組み合わせる「二重恐喝」を行うサイバー犯罪グループである。

米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）、連邦捜査局（FBI）、MS-ISACが2023年11月に公開した共同アドバイザリによると、Rhysidaは主に以下の経路を用いて組織内ネットワークへ侵入することが確認されている。

• 多要素認証（MFA）が未設定のリモートサービス: 漏洩した正規の認証情報を悪用し、外部公開されたVPNなどのアクセスポイントから侵入する。
• 既知の脆弱性の悪用: 2020年に修正パッチが公開されたMicrosoft Netlogonリモートプロトコルの特権昇格脆弱性「Zerologon（CVE-2020-1472）」などを悪用する。
• フィッシング攻撃: 標的型メールなどを通じて認証情報を窃取する。

米当局は、身代金を支払ってもデータが復旧する保証はなく、さらなる攻撃を助長するとして支払いを行わないよう推奨している。有効な対策としては、既知の脆弱性への迅速なパッチ適用、全サービスでの多要素認証の導入、マルウェアの水平展開を防ぐネットワークセグメンテーション（ネットワークの論理的な分割）を挙げている。

また、セキュリティ企業Check Pointなどの調査では、Rhysidaと「Vice Society（Microsoftによる追跡名：Storm-0832）」と呼ばれる攻撃グループとの活動の重複や類似性が指摘されている。

リークサイト監視サービスのデータによると、Rhysidaによる被害組織は8月29日時点で累計280件に達している。ドイツ国内では2026年5月のシュトゥットガルト市行政組織や2025年6月の援助団体Welthungerhilfeなど計9件が登録されているほか、2024年9月には米国のシアトル・タコマ国際空港を運営するシアトル港湾局も被害リストに掲載されていた。

州議会選挙への影響と今後の体制

ベルリン州の内務上院議員であるイリス・シュプランガー氏は、現時点において2026年9月20日に予定されている州議会（Abgeordnetenhaus）選挙の実施に関連する領域からのデータ流出は確認されておらず、選挙を運営するセキュリティ環境は安全であるとの見解を示している。

ベルリン州政府は、州データ保護コミッショナーおよびドイツ連邦情報セキュリティ庁（BSI）に対して継続的に状況を報告しながら、影響範囲の精査とシステムの復旧を進めている。