Der Angriff auf die Berliner Verwaltung wurde am 14. August bemerkt. Betroffen war die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt, deren Netzwerk noch am Tag der Entdeckung heruntergefahren wurde. Auch das Netz der Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen wurde abgeschaltet, um den Vorfall einzudämmen.
Der eigentliche Datenabfluss lag nach Darstellung des Regierenden Bürgermeisters Kai Wegner und der Senatskanzlei bereits davor: Zwischen dem 7. und 12. August seien Daten abgezogen worden, wahrscheinlich darunter personenbezogene und nicht öffentliche Informationen. Genauere Angaben macht die Stadt nicht und verweist auf die laufenden Ermittlungen des Landeskriminalamts, von Sicherheitsbehörden des Bundes und der Staatsanwaltschaft.
Wegner und Innensenatorin Iris Spranger bestätigten, dass die Angreifer eine Lösegeldforderung gestellt haben. Zugleich stellten beide klar, dass Berlin nicht zahlen wird. Wer hinter dem Angriff steht, hat die Stadt offiziell nicht mitgeteilt.
Die Ransomware-Gruppe Rhysida beansprucht den Vorfall für sich. Sie führte Berlin am 28. August kurzzeitig auf ihrer über das Tor-Netzwerk erreichbaren Leak-Seite auf. Nach eigenen Angaben hat die Gruppe mehr als 5,7 Terabyte an Daten entwendet, darunter Beschwerden und juristische Dokumente, Finanzunterlagen, Verträge, Personalakten, Passwörter und als vertraulich eingestufte Dokumente.
Rhysida behauptet weiter, personenbezogene Daten von über 12.000 Personen erbeutet zu haben, dazu mehr als 16.000 E-Mail-Adressen und knapp 12.000 Telefonnummern. Auf der Liste der angeblich abgezogenen Bestände stehen zudem Zahlungsinformationen einschließlich IBANs, Zugangsdaten im Klartext, Akten zu Gerichtsverfahren, Lohn- und Gehaltsdaten, Pass- und Ausweisdaten sowie private Daten von Führungspersonen.
Als Preis für das Ausbleiben einer Veröffentlichung verlangt die Gruppe 30 Bitcoin, umgerechnet etwa 2,3 Millionen US-Dollar. Diese Forderung bleibt nach der Ansage aus dem Roten Rathaus unerfüllt.