Rhysida divulgue 5,79 téraoctets de données de la ville de Berlin après l'expiration d'une rançon de 2 millions d'euros

Refus de la demande de rançon

Le groupe d'extorsion Rhysida a publié environ 1,4 million de fichiers volés sur les réseaux municipaux de Berlin après que la capitale allemande a refusé de payer une rançon. Le groupe de cybercriminalité a fixé un ultimatum strict exigeant des autorités municipales le transfert de 30 bitcoins, soit une valeur d'environ 2 millions d'euros. La date limite de la transaction a expiré à 15 h 35 le vendredi 4 septembre 2026. Le maire de Berlin, Kai Wegner, a déclaré dans les jours précédant l'échéance que la ville ne se laisserait pas faire chanter par des extorqueurs. Après avoir laissé passer la date limite sans envoyer de fonds, les attaquants ont téléchargé les fichiers extraits dans plusieurs packages téléchargeables sur une section ouverte du dark web.

Tous les fichiers ont été placés dans une section accessible au public – amusez-vous bien à les parcourir, chasseurs de données !

Étendue de la brèche du réseau municipal

L'accès non autorisé aux serveurs municipaux de Berlin a eu lieu entre le 7 août et le 12 août 2026. Le 14 août 2026, les administrateurs informatiques municipaux ont déconnecté plusieurs systèmes en ligne pour limiter la brèche et empêcher toute exfiltration supplémentaire de données. L'arrêt d'urgence a paralysé les fonctions administratives de base pendant plusieurs jours, empêchant les citoyens de soumettre des demandes d'allocations logement ou d'effectuer des paiements numériques courants. Des enquêtes de suivi menées par les responsables berlinois ont établi que l'intrusion avait atteint d'autres infrastructures municipales, ciblant spécifiquement le département des Transports et de la Protection de l'environnement de Berlin. L'administration a reconnu l'ampleur potentielle de l'incident après ces découvertes médico-légales.

Il ne peut être exclu que la brèche ait également inclus des données personnelles ou d'autres informations classifiées.

Nature des fichiers publiés

La fuite de données publiée a une taille totale de 5,79 téraoctets répartis sur plusieurs archives. Selon les listes de dossiers du dark web, les fichiers comprennent des dossiers administratifs du personnel, des certificats d'emploi, des offres de recrutement et des évaluations internes des employés. Dans la seconde moitié d'août 2026, l'hebdomadaire allemand Der Spiegel a publié une capture d'écran de la plateforme de fuite de Rhysida détaillant les actifs volés. Le groupe a affirmé sur cette plateforme posséder des contrats internes, des accords de non-divulgation, des mots de passe, des fichiers personnels et des milliers de coordonnées privées appartenant à des particuliers. Des analystes indépendants en cybersécurité n'ont pas encore vérifié l'intégrité des packages téléchargés, et les responsables n'ont pas confirmé si la fuite contient la totalité des données prélevées en août.

Contexte du groupe Rhysida

Rhysida est un syndicat de ransomware qui opérerait depuis des bases en Russie et en Europe de l'Est. Le groupe a ciblé des infrastructures institutionnelles lors d'opérations précédentes, notamment une cyberattaque contre le British Museum en 2023. Lors de l'attaque de Berlin, le syndicat a suivi sa méthode habituelle : voler des documents internes, crypter ou désactiver l'accès, et exiger une monnaie numérique dans un délai strict. Lorsque le gouvernement municipal a refusé la rançon de 30 bitcoins, le groupe est passé à la diffusion publique des fichiers. Les autorités allemandes continuent d'évaluer les ramifications juridiques et sécuritaires des données administratives publiées.