Une intrusion de cinq jours, une décision ferme
Entre le 7 et le 12 août, le groupe de rançongiciel Rhysida a compromis le réseau de deux administrations du Sénat de Berlin, exfiltrant 5,79 téraoctets de données. La mise à prix fixée : 30 bitcoins, soit environ 2 millions d'euros. Berlin a refusé de payer. Le 4 septembre, les attaquants ont mis leur menace à exécution : les fichiers sont désormais accessibles sur le darknet.
Ce refus de céder au chantage s'inscrit dans la ligne adoptée par la plupart des gouvernements européens, qui considèrent que payer une rançon finance directement les groupes criminels et n'offre aucune garantie de non-republication des données.
Ce que contiennent les 1,44 million de fichiers
La fuite est loin d'être anodine. Parmi les 1,44 million de fichiers publiés figurent plus de 5 000 dossiers du personnel et des fiches de paie, des documents confidentiels issus de commissions du Bundesrat, ainsi que des analyses de vulnérabilité portant sur l'approvisionnement en eau potable de Berlin. Ce dernier point est particulièrement préoccupant : cartographier les failles d'une infrastructure critique revient à fournir un mode d'emploi à d'éventuels saboteurs.
Rhysida affirme également détenir des identifiants et des mots de passe en clair, y compris ceux de bases de données administratives et de prestataires de paiement. Si cette affirmation est exacte, le périmètre de l'exposition dépasse largement les seuls agents du Sénat.
Rhysida, un groupe aux cibles institutionnelles
Rhysida est apparu en 2023 et s'est rapidement spécialisé dans les attaques contre des entités publiques et des hôpitaux en Europe et en Amérique du Nord. Le mode opératoire est rodé : intrusion via des accès compromis ou des vulnérabilités non corrigées, exfiltration massive, puis double extorsion, publication des données si la rançon n'est pas versée.
L'attaque contre Berlin illustre une réalité que les administrations européennes tardent encore à intégrer pleinement : la surface d'attaque d'une grande ville, avec ses dizaines de systèmes interconnectés et ses prestataires externes, est difficile à sécuriser de manière homogène. Des mots de passe en clair dans les données d'une administration régionale en 2026 signalent des pratiques de sécurité insuffisantes, indépendamment de la sophistication des attaquants.
