ベルリンで140万件のデータ流出：ランサム攻撃が公共防御体制の長年の機能不全を露呈

ドイチェ・ヴェレの報道によると、ハッカー集団Rhysidaは8月7日から14日にかけてベルリン市政府のネットワークに侵入し、1週間以上発見されないまま、職員記録、公的通信、給与明細、身分証のスキャン画像など約140万件の記録を盗み出した。その後、同集団は30ビットコイン（約200万ユーロ）の身代金を要求し、支払わなければデータを公開すると脅迫した。ベルリン市長Kai Wegnerは先週金曜日、「ベルリン州は恐喝には屈しない」と明言し、データはその直後にダークウェブへ公開された。

侵入の入口となったのは、通常の公務メールを装ったフィッシングメールに返信したベルリン交通局の職員だった。Rhysidaは2023年から活動し、本人たちの主張によれば世界で約280件の攻撃を実施しており、主な標的は米国の公共機関で、東欧を拠点としているとみられる。しかし本当の問題は攻撃者の能力ではない。こうした基本的な手口がベルリン市政のシステム内で通用し、しかも2週間近く発見されなかったという事実そのものにある。

流出した情報の範囲は個人のプライバシーをはるかに超えている。ドイチェ・ヴェレの整理によれば、盗まれたデータには、熱電併給施設、燃料貯蔵施設、非常用電源システム、刑務所、水処理場など、ベルリンの重要インフラに関する詳細資料が含まれていた。攻撃者は市民と職員の個人情報だけでなく、都市運営の中核拠点に関する技術的詳細も手にした。ドイツのカオス・コンピューター・クラブのJochim Selzerは『フランクフルター・アルゲマイネ』紙の取材に対し、「誰かについて知れば知るほど、その人になりすますことができ、例えばその人の名義で注文するにはどの情報が必要かも分かる」と述べた。つまり、関連データが組織犯罪集団や外国の情報機関によって体系的に利用されれば、被害は個人への詐欺からインフラを狙った標的型の脅威へと広がる。

より直接的な問いは、政府の対応に向けられている。ベルリン警察労組の副委員長Thorsten Schleheiderは、ベルリンのデータ保護は何年も不十分で、多くの職員が十分な訓練を受けていないと批判した。「高い機密性を持つデータが何日も侵害され、取られた行動が職員にパスワード変更を求めることだけだったように見えるのは、到底受け入れられない」と述べた。ドイチェ・ヴェレによれば、ベルリン州政府は省庁横断の調整室を設置し、連邦情報セキュリティ庁（BSI）とも連絡を取っている。Wegner市長が約束したのは、影響を受けた職員とベルリン市民に「できるだけ早く情報を伝え、助言し、支援する」ことだ。

政府が「断固として屈しない」と構える一方で、危険にさらされたのは一般の職員だ。何年も働きながら基本的なサイバーセキュリティー訓練を受けていなかった人々の身分証、給与情報、職歴が、いまやまとめてダークウェブに流れ込んでいる。制度的な防御の機能不全と個人データの露出は、公式のレトリックでは覆い隠せない別の現実を形作っている。

選挙については、ベルリン州選挙管理委員会のStephan Bröchler委員長が『ビルト』紙に対し、9月20日のベルリン州議会選挙は今回の攻撃の影響を受けないと確認した。「現時点で、選挙に必要なすべてのシステムと手続きは、選挙準備、投票日、暫定結果の公表を含め、影響を受けていない」という。さらにドイチェ・ヴェレによれば、流出データにはベルリン首相府の拡張計画に関する詳細も含まれており、ドイツのFriedrich Merz首相（キリスト教民主同盟）本人も間接的に影響を受けた。