Rhysida divulgue 5,8 téraoctets de données du gouvernement berlinois après le refus de payer une rançon de 2 millions d'euros

Le collectif de rançongiciels Rhysida a publié près de 5,8 téraoctets de données gouvernementales volées sur le dark web le vendredi 4 septembre 2026, après le refus des autorités berlinoises de payer une demande d'extorsion. Le groupe de cybercriminalité avait exigé 30 Bitcoin, un montant évalué à environ 2 millions d'euros, avant de fixer une date limite à l'administration municipale. Le dépôt publié comprend environ 1,44 million de fichiers distincts extraits des serveurs de l'État lors d'une intrusion détectée des semaines plus tôt. Le bourgmestre-gouverneur de Berlin, Kai Wegner, a défendu la position du gouvernement municipal contre l'extorsion, soulignant que céder aux demandes de rançon ne donne aucune garantie que les dossiers volés ne seront pas redistribués.

Le bourgmestre-gouverneur Kai Wegner a exposé la position de l'administration lors d'un entretien avec Bild.

Qui peut affirmer que, même si nous avions payé, ces données n'auraient pas déjà été ailleurs depuis longtemps ?

Perturbation administrative dans les services municipaux

La brèche s'est produite le 14 août 2026 et a ciblé les réseaux informatiques de la cité-État de Berlin, touchant deux départements administratifs principaux. En réponse à l'intrusion, les responsables informatiques ont coupé les connexions réseau de plusieurs branches municipales pendant une semaine entière pour stopper la propagation latérale dans l'infrastructure de l'État. La coupure a particulièrement affecté les départements du Sénat chargés du logement et des affaires environnementales, paralysant les flux de travail municipaux habituels. En conséquence directe de la déconnexion du réseau, les citoyens n'ont pas pu soumettre de demandes d'allocation logement, et les paiements de prestations réguliers sont restés bloqués pendant plusieurs jours. Les autorités municipales ont affirmé que les élections régionales de Berlin prévues pour le 20 septembre 2026 restent totalement sécurisées et se dérouleront comme prévu.

Étendue des dossiers personnels et de sécurité divulgués

Une grande partie des données compromises comprend des dossiers personnels sensibles de fonctionnaires, notamment des listes de salaires, des coordonnées bancaires, des scans de pièces d'identité, ainsi que des dossiers de procédures disciplinaires internes et d'allégations de négligence professionnelle. Outre les données des employés administratifs, les archives exposent des informations opérationnelles sensibles, telles que les protocoles de prévention des risques des pompiers de Berlin et la documentation concernant les projets d'agrandissement de la Chancellerie fédérale. Les fichiers contiennent également des documents de sécurité nationale, notamment des dossiers d'enquête de l'Office de police criminelle (LKA) et des plans d'intervention d'urgence pour les menaces chimiques, biologiques, radiologiques et nucléaires. Le journaliste d'investigation Lars Winkelsdorf a noté que le lot publié comprend des détails sur des entrepreneurs de défense et des communications fédérales d'urgence conçues pour des scénarios catastrophiques.

Mobilisation d'une cellule de crise et campagnes d'extorsion passées

Le gouvernement régional de Berlin a mis en place une cellule centralisée de gestion de crise le samedi 5 septembre 2026 pour superviser la vérification ligne par ligne et l'évaluation médico-légale des fichiers exposés. Les responsables municipaux ont qualifié la cyberattaque de délit pénal extrêmement grave contre l'État lui-même et ont demandé au grand public de s'abstenir de diffuser des documents non vérifiés sur les réseaux sociaux. L'administration a annoncé que toutes les personnes et entités compromises par la divulgation des données recevront une notification directe conformément aux réglementations allemandes et européennes sur la protection des données. L'incident fait suite à une campagne similaire du groupe Rhysida contre la British Library à l'automne 2023, où les attaquants avaient exigé plus de 760 000 euros avant de déverser environ 500 000 fichiers de visiteurs, abonnés et employés sur le dark web lorsque cette institution avait également rejeté la demande.