Un groupe de cybercriminels a déversé 1,4 million de fichiers volés au gouvernement de la ville de Berlin sur le dark web après que le Sénat a refusé une demande de rançon de 30 bitcoins, soit environ 2 millions d'euros au taux actuel. La violation, qui est passée largement inaperçue lors de l'élection régionale de Saxe-Anhalt le 6 septembre, expose des données personnelles d'employés et de citoyens ainsi que des détails techniques d'infrastructures critiques desservant les quatre millions d'habitants de la capitale.

Comment les attaquants ont pénétré

Rhysida, une opération de rançongiciel dont on pense qu'elle provient d'Europe de l'Est, a obtenu un point d'ancrage entre le 7 et le 14 août lorsqu'un employé de l'Autorité des transports de Berlin a ouvert une pièce jointe malveillante dans un courriel d'hameçonnage. Ce seul clic a donné au groupe l'accès au réseau sécurisé à fibre optique du gouvernement régional, qui relie environ 600 sites, des bureaux municipaux aux départements du Sénat. L'intrusion est restée non détectée pendant des semaines.

Depuis son apparition en 2023, Rhysida a revendiqué près de 280 attaques dans le monde, ciblant principalement des institutions publiques aux États-Unis. L'opération de Berlin marque l'une de ses intrusions européennes les plus médiatisées à ce jour. Le mode opératoire du groupe est constant : accès initial par hameçonnage ou services distants vulnérables, déplacement latéral, exfiltration de données, puis demande de rançon avec menace de publication.

Ce que contiennent les données

L'ensemble de données divulgué couvre deux départements majeurs, Travaux publics et Transports, et comprend des dossiers d'employés, de la correspondance officielle, des bulletins de paie et des pièces d'identité numérisées. Plus alarmant encore, il couvre également des spécifications techniques pour des centrales de cogénération, des installations de stockage de carburant, des systèmes d'alimentation de secours, des prisons et des stations de traitement de l'eau. Jochim Selzer du Chaos Computer Club a déclaré au Frankfurter Allgemeine que même sur le dark web, difficile d'accès, de telles données personnelles et d'infrastructure aussi granulaires permettent une usurpation d'identité convaincante et une fraude ciblée.

Retombées politiques et réponse institutionnelle

Le maire-gouverneur Kai Wegner a annoncé le 5 septembre que Berlin ne négocierait pas. "L'État de Berlin ne cédera pas au chantage," a-t-il déclaré. Les données sont apparues en ligne peu après. Le Sénat a depuis ordonné à tous les employés de changer leurs mots de passe, établi un bureau de coordination inter-agences et saisi l'Office fédéral de la sécurité de l'information (BSI) à Bonn.

Cet ordre de réinitialisation des mots de passe a suscité de vives critiques de la part de Thorsten Schleheider, vice-président du syndicat de police de Berlin. Il a argué que la violation révèle des années de sous-investissement systémique dans les défenses cyber et que de nombreux membres du personnel n'ont jamais reçu de formation adéquate à la sensibilisation à la sécurité. "C'est impensable que des données hautement sensibles aient été compromises pendant des jours, et que la seule mesure prise semble être d'instruire les employés de changer leurs mots de passe," a-t-il déclaré.

La sécurité électorale a tenu, mais des questions plus larges subsistent

Le commissaire aux élections régionales Stephan Bröchler s'est empressé de rassurer les électeurs. Il a déclaré au tabloïd Bild que tous les systèmes et processus pour l'élection parlementaire régionale de Berlin du 20 septembre restent indemnes, y compris les préparatifs, les opérations du jour du scrutin et la publication des résultats préliminaires. L'isolement de l'infrastructure électorale par rapport au réseau administratif compromis semble avoir tenu.

Les fichiers volés contiennent également des détails sur l'extension controversée de la Chancellerie fédérale au centre de Berlin, impliquant indirectement le bureau du chancelier Friedrich Merz. Bien que la Chancellerie elle-même n'ait pas été piratée, la présence de données de projets fédéraux sur un réseau municipal souligne l'interconnexion des systèmes administratifs à travers les niveaux de gouvernement.

Ce qui va suivre

Le bureau de coordination doit désormais identifier chaque individu dont les données apparaissent dans la fuite, les notifier conformément aux obligations du RGPD et évaluer l'exposition des infrastructures. Le BSI mènera une analyse médico-légale de la chronologie de l'intrusion et du déplacement latéral. Pendant ce temps, la publication des données par Rhysida élimine tout levier pour de futures négociations mais crée une ressource permanente pour les fraudeurs. Le prochain cycle budgétaire du Sénat sera le véritable test pour savoir si les critiques de Schleheider se traduisent par un investissement soutenu dans la segmentation, la surveillance et la formation obligatoire du personnel, ou si la réinitialisation des mots de passe reste la seule réponse visible.

Personnalités mentionnées

  • Kai Wegner

    Governing Mayor of Berlin, Berlin Senate

  • Thorsten Schleheider

    Vice-chairman of Berlin's police union, GdP Berlin

  • Jochim Selzer

    Spokesperson, Chaos Computer Club

  • Stephan Bröchler

    State Election Commissioner, Berlin State Election Office

  • Friedrich Merz

    Chancellor of Germany, Federal Chancellery

Organisations

Berlin Senate · Rhysida · Federal Office for Information Security · Chaos Computer Club · Berlin Police Union · Berlin Transportation Authority