L’administration de la ville de Berlin a confirmé que la ville faisait l’objet d’une tentative d’extorsion informatique après avoir été inscrite sur un site de fuite de données appartenant au groupe de rançongiciel Rhysida, qui affirme avoir volé des données du réseau administratif de la ville. L’attaque a été découverte à la mi-août, avant que le groupe n’en revendique publiquement la responsabilité le 28 août 2026.
Le maire de Berlin, Kai Wergner, a déclaré que la ville ne paierait pas les attaquants. Parallèlement, la police criminelle du Land, le parquet et les agences fédérales de sécurité ont commencé à enquêter sur l’incident. Les entités touchées avaient été isolées du réseau du Land le 14 août, après la détection d’indices indiquant une exfiltration de données des systèmes.
Quel est le volume des données concernées par ces allégations ?
Rhysida affirme avoir extrait 5,79 téraoctets de données, réparties dans environ 1,44 million de fichiers. Les autorités n’ont pas encore confirmé l’exactitude de ce chiffre ni l’exhaustivité de la liste des données que le groupe affirme avoir obtenues, car l’enquête pénale et l’expertise numérique sont toujours en cours.
Selon ce qu’ont publié les attaquants, les données présumées comprennent des dossiers administratifs, juridiques, financiers et contractuels ainsi que des ressources humaines, de même que des informations relatives aux infrastructures, à la santé et aux cartes. La liste comprend également des noms, des adresses électroniques et des numéros de téléphone, 148 numéros IBAN, ainsi que des identifiants en clair, des comptes de bases de données, des données de systèmes de paiement et des coffres-forts de mots de passe.
Le groupe évoque également des dossiers d’employés, des fiches de paie, des archives de courriels, des copies de bases de données SQL, des documents d’identité et des informations bancaires, ainsi que des documents liés à des procédures disciplinaires et à des affaires précises. Parmi les allégations les plus sensibles figurent la présence de registres des commissions du Bundesrat et d’informations relatives au traitement de documents classifiés, d’évaluations de sécurité concernant des infrastructures critiques liées à l’approvisionnement en eau de Berlin, ainsi que de plus de 3 200 documents portant la mention d’accords de confidentialité.
La pression exercée au moyen du Règlement général sur la protection des données
Les attaquants utilisent la possibilité d’infractions au Règlement général sur la protection des données (RGPD) comme moyen de pression et ont accordé au gouvernement de Berlin un délai de quatre jours, selon le rapport, avant de publier les fichiers volés. La menace ne se limite donc pas à la perturbation des systèmes, mais s’étend à la possibilité de divulguer des données personnelles et des documents administratifs sensibles, bien que l’ampleur réelle de la fuite n’ait pas encore été confirmée.
Qu’est-ce qui est établi et qu’est-ce qui ne l’est pas encore ?
Des enquêteurs criminels ont indiqué que des données avaient également été extraites de l’administration du Sénat chargée de la mobilité, des transports, de la protection du climat et de l’environnement, vraisemblablement entre le 7 et le 12 août. En revanche, la sénatrice Iris Spranger a déclaré qu’il n’existait aucune preuve d’une compromission des données électorales et que l’environnement technique prenant en charge les prochaines élections de la Chambre des députés de Berlin était considéré comme sûr.
La méthode d’accès initial au réseau n’a toujours pas été divulguée. Ce point revêt une importance pratique, car la confirmation du vol de données ne permet pas de déterminer si la faille résultait de comptes volés, d’une vulnérabilité ou d’un autre moyen. Les opérateurs de Rhysida avaient déjà utilisé des installateurs malveillants de Teams pour compromettre des cibles lors d’une campagne interrompue par Microsoft, mais la source ne confirme pas l’utilisation de cette même méthode dans l’attaque contre Berlin.
Pourquoi cette information est-elle importante ?
L’importance de l’incident tient à la réunion de trois éléments : le ciblage d’une grande administration publique, le risque que des données personnelles et des documents d’infrastructure sensibles aient été compromis, et l’utilisation des obligations en matière de protection des données pour maximiser l’impact de l’extorsion. Toutefois, les détails relatifs au volume du vol et à son contenu doivent être considérés comme des allégations du groupe de rançongiciel jusqu’à ce que les autorités aient achevé leurs vérifications.