Trente bitcoins pour une capitale. Voilà le tarif affiché par le gang Rhysida pour ne pas déballer 5,79 téraoctets de fichiers volés à l’administration berlinoise. Depuis la fin de la semaine dernière, un compte à rebours tourne sur le site vitrine du groupe dans le darknet. Il arrive à zéro vendredi 4 septembre. Face à ce chantage, la réponse du maire Kai Wegner tient en une phrase, prononcée le jour même. Berlin ne paiera pas. Pour vous qui suivez les demandes de rançon en bitcoin depuis des années, l’affaire a un parfum de déjà-vu. Sauf que cette fois, la victime est un Land allemand de 3,9 millions d’habitants, à trois semaines d’une élection.
Berlin piratée : sept jours d’intrusion sans que personne ne s’en aperçoive
Revenons au 7 août. Un courriel de hameçonnage (phishing) ouvre une porte dans le réseau informatique de Berlin. Pendant une semaine, les intrus se servent. D’après le Tagesspiegel, la fuite de données part de l’administration des Transports et de l’Environnement dès le premier jour, et personne ne la détecte avant le 14 août. Ce jour-là, deux administrations sont débranchées d’urgence, celle de l’Urbanisme et du Logement, et celle de la Mobilité et du Climat. Plus d’attribution de logements, plus de paiements. Une semaine de paralysie.
Le 28 août, la Chancellerie du Sénat publie un communiqué signé du maire Kai Wegner et de la sénatrice à l’Intérieur Iris Spranger. La formule est sèche. « Le Land de Berlin ne se laisse pas faire chanter. » Le texte officiel confirme l’exfiltration entre le 7 et le 12 août, l’enquête de la police criminelle et du parquet, l’Office fédéral de la sécurité informatique (BSI) étant tenu informé. Mais il ne dit pas un mot du montant réclamé, ni du nom du groupe. Ça, c’est le Spiegel qui l’a sorti le soir même, et le Tagesspiegel qui a précisé la suite : ultimatum fixé au vendredi 16 heures, pirates qui ont contacté directement un secrétaire d’État via le darknet, et société américaine CrowdStrike mandatée pour l’enquête informatique.
« Suite à l’incident des TIC sur le réseau public berlinois, l’État de Berlin va être victime de chantage. Le maire de Berlin, Kai Wegner, et la sénatrice de l’Intérieur et des Sports, Iris Spranger, ont déclaré vendredi : „L’État de Berlin ne sera pas victime de chantage. L’Office national de police criminelle de Berlin, le parquet et les autorités fédérales de sécurité enquêtent en étroite coopération sur les auteurs présumés de l’attaque pirate informatique contre le réseau national de Berlin. Les recherches sur le contenu et la portée des données extraites se poursuivent avec une grande intensité.»
Rhysida et ses 30 bitcoins : une rançon déguisée en vente aux enchères
Rhysida ne fonctionne pas tout à fait comme un rançongiciel classique. En effet, le groupe, apparu en mai 2023 et signalé par le FBI et la CISA dès novembre de la même année, affiche ses victimes sur un site vitrine avec un prix de départ. Payez, et les données sont censées disparaître. Ne payez pas, et le lot part au plus offrant, ou en libre accès.
Et le lot est lourd. Selon les captures relayées par la presse allemande, il contiendrait près de 80 000 procédures de contraventions, plus de 46 500 contrats, environ 6 000 fichiers d’identifiants, des mots de passe en clair, des IBAN, des plans d’urgence et des documents sur les infrastructures critiques, dont l’approvisionnement en eau. Attention, c’est la version des pirates. Le Sénat, lui, parle d’une « analyse du contenu et de l’étendue des données menée avec une grande intensité ». Traduisez : on ne sait pas encore exactement ce qui est sorti.
Le précédent le plus proche n’est pas à Londres mais à Stuttgart. Le 19 mai dernier, le même gang réclamait 5 bitcoins à la capitale du Bade-Wurtemberg, qui a nié tout incident. Avant cela, en octobre 2023, Rhysida avait exigé 20 bitcoins de la British Library, puis publié près de 490 000 fichiers internes faute de paiement. Les bibliothécaires britanniques ont mis plus d’un an à s’en remettre. En août 2024, c’est l’aéroport de Seattle qui se voyait réclamer 100 bitcoins par le même groupe.
Payer ou pas : ce que dit le marché des ransomwares en 2026
Wegner suit la ligne de tous les gouvernements occidentaux. Et, chiffres à l’appui, celle de plus en plus de victimes. Dans son rapport publié en février, Chainalysis comptait 820 millions de dollars de rançons versées en 2025, en baisse de 8 % sur un an, alors que le nombre de victimes revendiquées bondissait de 50 %. Seules 28 % des organisations touchées passent encore à la caisse. Les gangs compensent en visant plus gros et plus sensible. Les administrations publiques figurent parmi les cibles dont le nombre a le plus progressé, entre 45 % et 56 % de plus en un an.
