Berlin : les données volées par le groupe Rhysida publiées après le refus de payer la rançon

Berlin a choisi de ne pas jouer, sans doute au prix fort. Après le hack qui avait mis deux administrations du Sénat berlinois hors ligne à la mi-août et les 30 bitcoins réclamés par le groupe Rhysida, la ville a refusé de payer. La sanction est tombée le 4 septembre, dès l’expiration de l’ultimatum, avec 1,4 million de fichiers déversés dans le dark web et un message qui sonne comme une provocation calculée. Et l’histoire ne s’est pas arrêtée là.

Le vidage de sac promis, exécuté à la lettre

Vous vous souvenez du compte à rebours de sept jours ? Rhysida l’a tenu à la minute près. Quelques instants après l’échéance, le groupe a mis en ligne environ 1,4 million de fichiers, comme l’a détaillé le média spécialisé IT-Administrator dans son analyse du 5 septembre : dossiers de personnel, documents financiers et administratifs, identifiants d’accès. Le tout accompagné d’un message qui se veut narquois, une invitation à « bien s’amuser » adressée aux fouineurs du dark web.

Rien de très original, en réalité. La bibliothèque britannique avait fait le même choix face à Rhysida en 2023, et près de 490 000 fichiers avaient fini par fuiter derrière son refus. Berlin savait donc parfaitement à quoi s’attendre en tenant tête au groupe.

Un second paquet de données, confirmé par la chancellerie du Sénat

Sauf que l’histoire ne s’arrête pas au 4 septembre. Dans la nuit de samedi à dimanche, les pirates ont mis en ligne ce que la chancellerie du Sénat berlinois a elle-même qualifié d‘« autre paquet de données », cette fois centré sur des identifiants d’accès, comme l’a rapporté Berliner Zeitung dimanche soir. L’administration du développement urbain, de la construction et du logement a revu et durci certaines mesures de sécurité déjà en place, avec un risque de restrictions ponctuelles sur des démarches en ligne, par exemple les demandes d’aide au logement. Les usagers concernés doivent être prévenus au cas par cas.

Le Sénat reste peu bavard sur le détail des procédures touchées. Il confirme seulement qu’aucun élément ne montre, à ce stade, que le réseau administratif resterait compromis : les enquêteurs de la police criminelle du Land et du parquet de Berlin, mobilisés depuis l’annonce officielle fin août, poursuivent leurs investigations.

Le vrai danger commence maintenant

Voilà le paradoxe d’une fuite de cette ampleur : le piratage à proprement parler est terminé, ses conséquences ne font que débuter. Un tel volume de noms, de fonctions et de dossiers internes authentiques transforme le moindre futur email frauduleux en arme de précision. Le hameçonnage ciblé (spear phishing, une tentative de fraude construite sur mesure à partir d’informations réelles sur la cible) n’a plus besoin d’improviser, il pioche directement dans les vrais dossiers de la ville.

C’est le principe de la double extorsion, devenu la norme chez les groupes de rançongiciel : voler les données avant de chiffrer les systèmes, puis menacer de les publier, peu importe si les machines sont restaurées derrière. Une sauvegarde propre répare un serveur. Elle ne fait pas revenir un fichier déjà en ligne. Double peine, pas double protection.

Rhysida, calendrier électoral et coïncidences qui n’en sont pas

Ajoutez à cela le calendrier électoral. L’élection du Parlement régional berlinois se tient le 20 septembre, deux semaines seulement après cette deuxième vague de fuites. Les autorités le disent sans détour, aucun lien n’a été établi entre l’attaque et le scrutin, l’opération reste classée comme motivée par l’argent. Reste que des données volées pour de l’argent peuvent très bien resservir plus tard à d’autres fins, électorales ou non.