Nach Angaben der Senatskanzlei ermitteln das Landeskriminalamt, die Staatsanwaltschaft sowie Bundessicherheitsbehörden gegen die mutmaßlichen Täter; eine Gruppe benannte die Senatskanzlei nicht. Der Spiegel nannte am 28. August Rhysida als Urheber und berief sich dabei auf einen Eintrag auf der Darknet-Leak-Seite der Gruppe sowie auf in die Aufarbeitung eingebundene Sicherheitskreise. The Hacker News bestätigte am 29. August über einen Dienst zur Überwachung von Leak-Seiten, dass am 28. August ein Eintrag mit dem Titel „Berlin, Germany" auf Rhysidas Seite hinzugefügt wurde.
Der Beitrag beansprucht, 5,79 Terabyte Daten und rund 1,44 Millionen Dateien gescannt zu haben, und benennt als Opfer lediglich „Berlin, Germany" – nicht den Senat oder eine einzelne Verwaltung. Eine Lösegeldsumme steht nicht in dem Eintrag. Die elf aufgeführten Dateikategorien, die größte davon 124.823 Karten- und Geodaten-Dateien, ergeben zusammen etwa ein Viertel der behaupteten Gesamtdateizahl.
Die beiden Senatsmitteilungen zu dem Vorfall enthielten mit Stand 29. August keine Hinweise für Personen, deren Daten betroffen sein könnten. Der Berliner Landesdatenschutzbeauftragte und das Bundesamt für Sicherheit in der Informationstechnik (BSI) werden laut Senatskanzlei fortlaufend informiert; eine Stellungnahme der Berliner Beauftragten für Datenschutz und Informationsfreiheit fand The Hacker News bis zum 29. August nicht.
Innensenatorin Iris Spranger erklärte, nach derzeitigem Stand seien keine Daten aus den für die Durchführung der Abgeordnetenhauswahl am 20. September relevanten Bereichen abgeflossen; ihre Sicherheitsbeauftragten hielten das Wahlumfeld für sicher. Berlin hatte den Vorfall am 17. August erstmals öffentlich gemacht und mitgeteilt, die Forensik habe eine Kompromittierung des Landesnetzes festgestellt; beide betroffenen Verwaltungen seien seit dem Freitag zuvor isoliert. Auf einer Pressekonferenz am 19. August bezeichnete Wegner den Vorfall als ernst und betonte, nach damaligem Kenntnisstand hätten keine sensiblen Daten das Landesnetz verlassen. Wohngeldanträge und -zahlungen waren während der Netztrennung nicht verfügbar; am 23. August wurden alle Senatsverwaltungen wieder angebunden, Forensik und Scans des Landesnetzes dauern an.
Die US-Behörden CISA und FBI sowie das MS-ISAC hatten das Vorgehen von Rhysida bereits im November 2023 in einer gemeinsamen Warnung beschrieben, als sie erstmals vor den doppelten Erpressungsangriffen der Gruppe warnten. Darin heißt es, FBI und CISA rieten von Lösegeldzahlungen ab, weil eine Zahlung keine Wiederherstellung garantiere und Angreifer zu weiteren Taten ermutigen könne. Empfohlen werden die vorrangige Behebung bekannter ausgenutzter Schwachstellen, Mehr-Faktor-Authentifizierung und Netzsegmentierung. Das Dokument verweist zudem auf Berichte über Ähnlichkeiten zwischen Vice Society, von Microsoft als Storm-0832 geführt, und den Rhysida-Akteuren – eine Überschneidung, die Check Point 2023 dargelegt hatte.
Der Überwachungsdienst führte zum 29. August 280 Rhysida-Opfer auf, neun davon in Deutschland, darunter die Stuttgarter Stadtverwaltung im Mai 2026 und die Welthungerhilfe im Juni 2025. Ebenfalls gelistet ist der Port of Seattle, Betreiber des Flughafens Seattle-Tacoma, indexiert im September 2024.