Lorsque le groupe de rançongiciel Rhysida a pénétré deux réseaux appartenant à l'administration du Sénat de Berlin en août 2026, les attaquants ont trouvé une cible protégée par des directives de sécurité informatique qui n'avaient pas été touchées depuis 2017. La violation, divulguée seulement cette semaine, a mis au jour une défaillance de gouvernance au cœur de la capitale allemande : neuf ans sans mettre à jour les règles censées protéger les infrastructures gouvernementales sensibles.

Ce qu'ont découvert les attaquants

Rhysida, un groupe connu pour cibler les secteurs gouvernemental et de la santé, a accédé aux réseaux du Sénat par une attaque de phishing. Au moins un employé a involontairement remis ses identifiants. De là, les attaquants ont exploité des faiblesses qui auraient dû être corrigées il y a des années, notamment le stockage de collections de mots de passe sous forme de documents en clair sur les systèmes internes.

Les fichiers de mots de passe en clair sont une vulnérabilité bien connue. Les professionnels de la sécurité exhortent depuis des années les organisations à adopter des coffres-forts chiffrés et l'authentification multifacteur. L'existence de tels documents au sein d'une administration d'État en 2026 ne témoigne pas d'une menace sophistiquée nouvelle, mais d'un échec à mettre en œuvre une hygiène de base.

Le vide de neuf ans en matière de politique

Les directives de sécurité informatique de Berlin, qui définissent les normes minimales pour l'administration publique de la cité-État, ont été révisées pour la dernière fois en 2017. Depuis, le paysage des menaces a considérablement évolué : le rançongiciel en tant que service a abaissé la barrière à l'entrée pour les cybercriminels, les attaques sur la chaîne d'approvisionnement sont devenues courantes, et l'UE a introduit la directive NIS2 imposant des obligations de cybersécurité plus strictes aux organismes publics. Aucun de ces développements n'était reflété dans les règles internes de Berlin.

Un écart de neuf ans entre les révisions n'est pas une simple négligence. Les cadres de sécurité exigent généralement une révision annuelle au minimum. L'Office fédéral de la sécurité des technologies de l'information (BSI), l'autorité nationale allemande de cybersécurité, publie régulièrement des recommandations actualisées. L'administration de Berlin ne les a tout simplement pas intégrées dans une politique interne contraignante.

Pas seulement Berlin, mais emblématique

Falk Steiner, journaliste berlinois couvrant la politique numérique, a soutenu que les défaillances exposées par cet incident ne sont pas propres à la capitale. Le phishing fonctionne partout. Le stockage de mots de passe en clair, bien qu'indéfendable, est plus répandu dans les organisations allemandes que quiconque se soucie de la sécurité de l'information ne voudrait l'admettre. La différence est qu'une administration d'État porte des responsabilités que les entreprises privées n'ont pas.

Pourtant, l'affaire berlinoise est, comme l'a dit Steiner, un exemple d'école de la façon dont les choses ne devraient plus fonctionner en 2026. La cité-État a eu des années d'avertissement. Des incidents antérieurs dans d'autres municipalités allemandes, combinés aux avis répétés du BSI, rendaient les risques clairs. L'écart entre savoir quoi faire et le faire réellement est là où réside cette histoire.

L'inertie institutionnelle

L'administration de Berlin n'est pas une petite structure. Le Sénat supervise l'éducation, la police, l'urbanisme et la santé pour près de quatre millions d'habitants. Ses réseaux contiennent des données personnelles, des détails de marchés publics et des schémas d'infrastructure. Protéger ces systèmes nécessite à la fois un investissement technique et une volonté politique.

Les directives de 2017 précèdent non seulement les tactiques actuelles de rançongiciel, mais aussi des changements significatifs dans la façon dont la passation des marchés publics allemands gère la sécurité informatique. Le gouvernement fédéral a poussé vers un achat centralisé de logiciels de sécurité et des exigences plus strictes envers les fournisseurs. Berlin, comme plusieurs autres Länder, a été lent à aligner ses processus internes sur ces attentes. Le résultat est un patchwork de règles obsolètes, de services informatiques sous-financés et de mises à niveau retardées.

Le tableau allemand plus large

L'informatique du secteur public allemand est une source récurrente d'inquiétude. Le piratage du Bundestag en 2015, attribué au renseignement russe, a suscité des investissements dans les systèmes fédéraux, mais a laissé de nombreux réseaux municipaux et d'État sous-protégés. Un rapport du BSI de 2023 notait que les administrations locales restaient le maillon le plus faible des défenses numériques du pays, citant des logiciels obsolètes, des correctifs manquants et un effectif insuffisant.

La Commission européenne a également pressé les États membres d'accélérer la conformité avec la législation européenne sur la cybersécurité. La NIS2, entrée en vigueur en 2023 et exigeant une transposition nationale d'ici fin 2024, impose que les administrations publiques respectent des normes spécifiques de gestion des risques et de signalement. L'échec de Berlin à mettre à jour ses propres directives suggère qu'elle pourrait peiner à démontrer sa conformité.

Une divulgation retardée

La violation s'est produite en août 2026 mais n'a été divulguée qu'en septembre. Ce délai, bien que pas inhabituel pour les incidents de rançongiciel où le travail d'investigation prend du temps, soulève des questions sur la transparence. Les administrations du Sénat détiennent des données publiques. Les citoyens et entreprises affectés par d'éventuelles fuites méritent une information rapide sur ce qui a été consulté et ce qui a été dérobé.

Rhysida est connu pour publier les données volées lorsque les demandes de rançon ne sont pas satisfaites. Le volume de données prétendument extraites des réseaux du Sénat, précédemment rapporté à plus de cinq téraoctets, suggère que les attaquants ont eu un accès étendu avant d'être détectés.

Organisations

Rhysida · Berlin Senate Administration