Rhysida Klaim Curi 5,79 TB Data Pemerintah Berlin, Kota Menolak Bayar Tebusan 30 Bitcoin

Kota Ibu Kota Negara Bagian Menolak Tunduk

Pemerintah Berlin menegaskan tidak akan menyerah pada pemerasan setelah geng ransomware Rhysida mengklaim mencuri 5,79 terabyte data dari jaringan Senat kota dan mengancam mempublikasikannya bila tebusan 30 bitcoin tidak dibayar sebelum tenggat Jumat, 4 September 2026. Penolakan itu disampaikan langsung oleh Wali Kota Kai Wegner dan juru bicara Senat Christine Richter di tengah operasi pembersihan sistem yang disebut mencakup 12.000 perangkat.

Serangan yang kini menjadi sorotan ini terdeteksi pada 14 Agustus 2026, ketika seluruh departemen Senat Berlin langsung diputus dari jaringan pusat. Dua dinas yang paling terdampak adalah departemen pembangunan perkotaan, konstruksi, dan perumahan — yang sempat membuat warga kesulitan mengurus klaim tunjangan perumahan — serta departemen mobilitas, transportasi, lingkungan, dan perlindungan iklim.

Kronologi: Dari Denial hingga Pengakuan

Wegner, yang mundur dari pencalonan kembali pada Juli lalu, awalnya menyatakan tidak ada data sensitif yang terganggu. Pernyataan itu tidak bertahan lama. Menyusul investigasi forensik, akhir pekan lalu ia mengakui data publik maupun non-publik mungkin telah diambil antara 7 hingga 12 Agustus, dan pelaku tengah berusaha memeras pemerintah Berlin. Tuntutan resmi masuk Kamis malam, dan jawabannya singkat: “Berlin tidak akan menyerah pada pemerasan,” kata Wegner.

Identitas penyerang akhirnya dikonfirmasi Senat pada Selasa: Rhysida, kelompok yang kerap membidik organisasi di Amerika Serikat, termasuk sejumlah penyedia layanan kesehatan. Analisis Ransom-DB pada Februari lalu menemukan hampir separuh serangan kelompok ini terjadi di luar AS, dengan Eropa sebagai wilayah yang menonjol.

Klaim Rhysida atas data Berlin sangat detail. Selain 5,79 TB total, kelompok itu menyebutkan 16.389 email, 11.963 nomor telepon, 148 kode perbankan, puluhan ribu kontrak dan dokumen peradilan, serta ribuan berkas personel berisi data pribadi. Yang lebih mengkhawatirkan, mereka juga mengaku membawa pergi kredensial yang tersimpan dalam bentuk plaintext, materi berklasifikasi, hingga analisis kerentanan pasokan air Berlin. Rhysida menggelar lelang data hingga tenggat, dengan klaim data hanya akan diserahkan kepada satu pembeli.

Respons Berlin: Remote Work Diputus, 12.000 Sistem Dipindai

Richter mengonfirmasi pada konferensi pers Selasa bahwa sejumlah besar data — sebagian bersifat non-publik — memang terganggu di dua departemen tersebut. Meski belum ada bukti departemen lain ikut terdampak, seluruh sistem dalam wilayah Berlin harus dipindai untuk menyingkirkan kemungkinan eksfiltrasi lanjutan. Sebanyak 12.000 sistem menunggu pemeriksaan, sementara sistem di dua departemen yang terdampak sudah diperiksa seluruhnya.

Pengakuan lain datang menyusul: kata sandi untuk “aplikasi khusus tertentu” ikut terkompromi. Akibatnya, dua departemen terdampak memberlakukan langkah pengamanan tambahan yang membatasi operasional, walau keduanya tetap dapat dihubungi lewat email. Menurut laporan Tagesspiegel, akses kerja dari rumah dimatikan sejak Senin — pegawai masih bisa mengirim dan menerima email, tetapi tidak dapat membangun koneksi VPN ke jaringan internal, sehingga terpaksa bekerja dari komputer kantor.

Media lokal juga melaporkan detail yang memalukan: potongan data curian memperlihatkan kredensial login tanpa enkripsi yang disimpan dalam berkas bernama Password.docx, lengkap dengan kata sandi seperti “Sunshine13” — jauh dari rekomendasi Bundesamt für Sicherheit in der Informationstechnik (BSI), badan keamanan siber federal Jerman.

Profil Rhysida: Rusia atau Eropa Timur?

Asal usul Rhysida masih belum pasti, meski berbagai analisis mengarah ke Rusia dan sekutunya. Cynet mencatat pada 2023 bahwa perangkat lunak ransomware, catatan tebusan, dan situs kebocoran Rhysida kadang memuat potongan bahasa Rusia, dan kelompok ini secara mencolok menghindari target di Rusia serta negara-negara pasca-Soviet lainnya. Richter menegaskan tidak ada bukti keterkaitan dengan Rusia atau negara Rusia dalam kasus Berlin, tetapi keterkaitan semacam itu “tidak dapat dikesampingkan.”

Konteks politik membuat kasus ini lebih peka. Jerman belakangan menuding Rusia menjalankan perang hibrida, dan Selasa lalu pemerintah Jerman secara resmi menuduh Moskow — di tengah meningkatnya aksi sabotase dan serangan drone di wilayah Jerman yang dikaitkan dengan dukungan Berlin terhadap Ukraina. Serangan ini juga datang kurang dari tiga minggu sebelum pemilihan umum negara bagian Berlin pada 20 September; Senator Dalam Negeri Iris Spranger memastikan lingkungan pemilu aman menurut penilaian aparat keamanan.

Ancaman yang Sering Ditepati

Keputusan Berlin menolak membayar bukan tanpa risiko. Rhysida punya rekam jejak menepati ancaman. Pada 2023, setelah British Library menolak membayar tebusan 20 bitcoin, kelompok ini mempublikasikan sekitar 600 gigabyte berkas curian, termasuk rincian staf yang memaksa sebagian karyawan pindah rumah. Sebelum Berlin, Rhysida sempat membidik Stuttgart pada Mei 2026 dengan tuntutan 5 bitcoin — meski pencurian maupun pembayaran tebusan dalam kasus itu tidak pernah dikonfirmasi publik.

Strategi double extortion Rhysida — mengenkripsi sistem sekaligus mengancam membocorkan data — menempatkan pemerintah kota besar pada posisi sulit. Data pemerintah bukan sekadar aset operasional; ia berisi data warga, kontrak publik, hingga analisis infrastruktur kritis seperti pasokan air. Bocornya dokumen semacam itu bisa menjadi bahan eksploitasi jangka panjang, jauh melampaui dampak downtime itu sendiri.

Pelajaran dan Langkah yang Perlu Diambil

Kasus Berlin menegaskan beberapa hal bagi organisasi publik maupun swasta. Pertama, deteksi dini tidak berguna tanpa respons yang cepat dan menyeluruh — pemutusan jaringan seluruh Senat pada hari yang sama adalah keputusan tepat, tetapi data ternyata sudah diambil lima hari sebelumnya. Kedua, kredensial yang disimpan tanpa enkripsi dan kata sandi lemah adalah bom waktu; praktik semacam itu memberi penyerang akses tambahan saat lapisan pertahanan lain sudah ditembus.

Langkah yang direkomendasikan bagi instansi yang menghadapi ancaman serupa: aktifkan autentikasi multi-faktor di seluruh sistem, terapkan password manager dan kebijakan kata sandi yang kuat, audit dan rotasi semua kredensial — terutama yang tersimpan di dokumen atau konfigurasi — secara berkala, serta pastikan backup offline yang teruji pemulihannya. Organisasi yang menduga telah dikompromikan sebaiknya tidak langsung membayar; investigasi forensik, pemindaian menyeluruh, dan keterlibatan otoritas keamanan siber nasional seperti BSI di Jerman atau BSSN di Indonesia adalah langkah pertama yang jauh lebih bernilai daripada memenuhi tuntutan tebusan.

Hingga artikel ini ditulis, belum ada konfirmasi apakah Rhysida menepati ancamannya begitu tenggat Jumat berlalu, dan belum ada informasi resmi mengenai jumlah pasti data warga yang terdampak. Yang jelas, Berlin sedang menjalani ujian keamanan siber terbesarnya dalam beberapa tahun terakhir — dan hasilnya akan menjadi preseden bagi pemerintah kota lain di Eropa.