Le groupe de rançongiciels Rhysida a mis ses menaces à exécution en diffusant les données de l'administration de l'État de Berlin après qu'une demande de rançon de 30 bitcoins n'a pas été satisfaite. Peu après l'expiration du compte à rebours vendredi 11 septembre à 15 h 35, le groupe a publié une archive de 5,8 téraoctets contenant 1 439 893 fichiers sur son site de fuite sur le dark web. Parmi les éléments figure un répertoire intitulé AG CBRN-Rahmenplanung, qui correspond au groupe de travail sur la planification du cadre NRBC et contient des plans de scénarios pour les incidents nucléaires, radiologiques, bactériologiques et chimiques.
Contenu de l'archive
L'ampleur de cette violation est exceptionnelle, même selon les normes allemandes récentes. Les intrusions précédentes dans le réseau du Sénat de Berlin en 2024 et 2025 ont respectivement permis de dérober 5,7 et 5,8 téraoctets, mais ces ensembles de données étaient dominés par des schémas d'infrastructure et des dossiers du personnel. La publication actuelle ajoute une couche de planification de la sécurité opérationnelle qui n'a aucun précédent dans les divulgations publiques. Le chercheur en cybersécurité Lars Winkelsdorf, qui a examiné l'index des fichiers, a confirmé que le dossier NRBC contient des matrices de menaces, des protocoles d'évacuation et des plans de coordination interorganisations pour des scénarios allant des accidents industriels aux attaques délibérées.
Au-delà des documents de planification de sécurité, l'archive contient des dossiers du personnel, des données sur les salaires, des correspondances internes et des détails de contrats pour des milliers de fonctionnaires et de sous-traitants. Le volume pur, près de six téraoctets, suggère que les attaquants ont maintenu un accès persistant pendant des mois, exfiltrant les données de manière systématique plutôt que lors d'une seule opération d'effraction. Des listes de noms de fichiers partagées sur Telegram et X dans les heures suivant la publication indiquent que les attaquants ou leurs affiliés indexent activement les données volées pour la revente ou l'exploitation ciblée.
Chronologie de la rançon
Le site de fuite de Rhysida affichait un compte à rebours devant expirer vendredi après-midi, accompagné d'une demande de 30 bitcoins, d'une valeur d'environ 2 millions d'euros au moment de l'échéance. Le groupe a utilisé des mécanismes de compte à rebours similaires dans de précédentes campagnes contre des cibles de la santé et de l'éducation au Royaume-Uni et aux États-Unis, publiant généralement les données dans les heures suivant l'expiration. L'administration du Sénat de Berlin n'a pas publiquement reconnu la demande, et n'a ni confirmé ni infirmé l'existence de négociations. Un porte-parole du bureau du Sénateur à l'Intérieur a refusé de commenter samedi, invoquant des enquêtes forensiques en cours.
Le refus de payer est conforme aux directives fédérales allemandes et à la position de la plupart des forces de l'ordre européennes, qui estiment que le paiement alimente de nouvelles attaques et n'offre aucune garantie de suppression des données. Cependant, cette décision a un coût distinct : les documents de planification NRBC sont désormais accessibles à tout acteur disposant d'un accès au dark web, y compris les groupes affiliés à des États qui surveillent de telles fuites pour leur valeur de renseignement. L'Office fédéral de la sécurité de l'information (BSI) n'a pas émis d'alerte publique lundi matin.
Pourquoi la planification NRBC est importante
La planification du cadre NRBC est une fonction standard de l'appareil de protection civile de toute grande capitale européenne. Les documents de Berlin couvriraient la coordination entre les services d'incendie, la police, les unités spécialisées de la Bundeswehr et les agences fédérales telles que l'Office fédéral de protection civile et d'aide en cas de catastrophe (BBK). Leur exposition ne révèle pas de conceptions d'armes ou de sources de renseignement, mais elle divulgue des évaluations de vulnérabilité, des emplacements d'abris, des couloirs de décontamination et des protocoles de communication, des informations qui pourraient être utilisées pour dégrader les temps de réponse ou cibler les premiers intervenants lors d'un incident réel.
Le risque pratique n'est pas théorique. En 2023, une fuite similaire de plans de défense civile suédois avait provoqué un examen formel de la signalétique des abris et des allocations de fréquences d'urgence après que des analystes ont trouvé les documents sur un forum en langue russe. Les autorités allemandes feront désormais face à des pressions pour vérifier quels plans restent en vigueur, lesquels ont été remplacés, et si certains détails opérationnels, tels que les emplacements exacts des stocks médicaux, nécessitent une relocalisation ou une reclassification immédiate.
Le modèle en évolution de Rhysida
Rhysida opère comme un groupe de rançongiciel en tant que service, fournissant des outils de chiffrement et une infrastructure de site de fuite aux affiliés qui mènent les intrusions initiales. Le groupe est apparu à la mi-2023 et s'est rapidement distingué en ciblant les entités de santé et du secteur public, dont la British Library, le système de paie de l'armée chilienne et Prospect Medical Holdings aux États-Unis. Son site de fuite imite les dépôts de données légitimes, offrant des arborescences de fichiers consultables et des téléchargements torrent, ce qui abaisse la barrière technique pour les acteurs secondaires souhaitant exploiter les données.
L'opération de Berlin porte les marques d'un affilié ayant une connaissance préalable de la topologie du réseau du Sénat. Le volume d'exfiltration et l'inclusion spécifique du répertoire NRBC suggèrent soit une reconnaissance approfondie, soit une orientation interne. Les procureurs allemands ont ouvert une enquête formelle en vertu de l'article 202a du Code pénal (espionnage de données) et de l'article 303b (sabotage informatique), mais l'attribution dans les affaires de rançongiciels mène rarement à des arrestations lorsque les opérateurs se trouvent dans des juridictions qui ne coopèrent pas avec les forces de l'ordre européennes.
Précédent et schéma
Il s'agit de la troisième violation majeure de l'administration de Berlin en autant d'années. En mars 2024, une fuite de 5,7 téraoctets avait exposé des cartes de topologie de réseau et des identifiants VPN. En janvier 2025, une publication de 5,8 téraoctets comprenait des dossiers du personnel des départements de l'éducation et des services sociaux. Chaque incident a suscité des promesses d'amélioration de la segmentation, d'authentification multifacteur obligatoire et d'accélération des cycles de correctifs. La récurrence suggère soit que la remédiation a été incomplète, soit que la surface d'attaque, composée de milliers de terminaux répartis sur des dizaines d'agences, est fondamentalement difficile à sécuriser avec les ressources actuelles.
Le budget fédéral de 2027 prévoit 109,7 milliards d'euros pour la défense, incluant un renforcement des capacités cyber pour le service des domaines cyber et information de la Bundeswehr. Cependant, l'informatique municipale et au niveau des Länder reste un patchwork de systèmes hérités, de contrats externalisés et de niveaux de maturité en sécurité variables. Le catalogue IT-Grundschutz du BSI fournit une base de référence, mais la conformité est volontaire pour les administrations des Länder. Le Sénat de Berlin n'a pas publié de rapport post-incident pour l'une ou l'autre des deux violations précédentes, rendant impossible l'évaluation de l'application des leçons apprises.
Ce qui se passe ensuite
La priorité immédiate pour l'équipe de sécurité informatique de Berlin est l'endiguement : révoquer les identifiants compromis, faire tourner les clés de chiffrement et vérifier qu'aucune porte dérobée persistante ne subsiste dans le réseau du Sénat. Le BSI publiera probablement cette semaine un avis technique détaillant les indicateurs de compromission associés à la variante de Rhysida utilisée. Pour les documents NRBC, le BBK doit décider s'il faut réémettre les hypothèses de planification, modifier les désignations d'abris ou mettre à jour les protocoles de communication, un processus qui prend généralement des mois. Le prochain jalon concret est l'audition de la commission de l'intérieur du Bundestag le 23 septembre, où la ministre de l'Intérieur devrait aborder la violation. D'ici là, les 1,44 million de fichiers restent consultables sur le dark web, et chaque jour passé augmente la probabilité que des services de renseignement hostiles les aient déjà mis en miroir et indexés.
Personnalités mentionnées
-
Lars Winkelsdorf
Organisations
Berlin Senate Administration · Rhysida