Rhysida frappe le Sénat de Berlin : 5,7 To volés, 30 BTC, élections J-15

Les faits

L'attaque contre le réseau informatique du Sénat de Berlin a été détectée le 14 août 2026. Dès sa découverte, l'ensemble des départements de l'administration berlinoise ont été immédiatement déconnectés du réseau central pour contenir la propagation. Les services les plus directement impactés sont les départements chargés du développement urbain, de la construction et du logement — perturbant notamment les demandes d'aides au logement pour les résidents berlinois — ainsi que les départements de la mobilité, du transport, de l'environnement et de la protection du climat.

Le groupe Rhysida a revendiqué l'attaque et annonce détenir 5,7 téraoctets de données sensibles appartenant à l'administration berlinoise. Parmi les éléments cités dans la revendication : des analyses de vulnérabilité de l'alimentation en eau de Berlin, plus de 5 000 dossiers personnels d'agents publics, des données de paie, plus de 5 000 dossiers de contraventions administratives, des dumps SQL couvrant la période 2020 à 2026, et 3 226 accords de non-divulgation (NDA) signés par l'administration avec ses prestataires.

La rançon exigée est de 30 Bitcoin, soit environ deux millions d'euros au cours actuel. Rhysida a mis les données aux enchères sur son site de fuite avec ce montant minimum. Berlin a officiellement refusé de céder au chantage. La sénatrice à l'Intérieur, Iris Spranger, a déclaré publiquement que les données liées aux élections du 20 septembre 2026 n'avaient pas été touchées par l'attaque et que le scrutin reste sécurisé. Berlin élira son Parlement régional le 20 septembre, soit à peine cinq semaines après la détection de l'incident.

Les chercheurs en sécurité qui ont analysé la chronologie de l'incident relèvent un élément opérationnel significatif : une fenêtre de sept jours entre la détection initiale de la compromission et la déconnexion complète du réseau aurait permis à Rhysida de progresser librement dans les systèmes. Selon les rapports de Tech Insider et Heise Online, c'est pendant cette période que les attaquants ont pu scanner 12 000 systèmes internes et exfiltrer le volume massif de données revendiqué. Ce délai de sept jours illustre une lacune structurelle dans la gestion de crise de nombreuses administrations publiques : l'absence de procédures d'isolement automatique et de capacité de décision rapide.

Rhysida est un groupe de ransomware-as-a-service apparu en mai 2023. Il a ciblé des hôpitaux, des institutions gouvernementales et des organismes éducatifs dans le monde entier. Le groupe est connu pour sa double extorsion — chiffrement et menace de publication des données — et pour sa capacité à cibler des entités disposant de systèmes vieillissants et de capacités de réponse limitées. En 2025 et 2026, Rhysida a intensifié ses attaques contre des administrations européennes, profitant des délais de mise à jour chroniquement longs dans le secteur public.

L'aspect le plus préoccupant de cet incident est la nature des données exfiltrées. Les analyses de vulnérabilité de l'alimentation en eau de Berlin constituent une information stratégique susceptible d'être revendue à des acteurs étatiques hostiles ou utilisée pour planifier des attaques contre des infrastructures critiques. La présence de 3 226 accords de non-divulgation dans le lot implique que des informations sur des prestataires, des contrats sensibles et des engagements confidentiels de l'administration ont été compromises, avec des conséquences potentielles pour l'ensemble de la chaîne d'approvisionnement numérique de la ville.

Le timing politique amplifie l'impact de l'incident. Frapper une administration régionale à moins d'un mois d'une élection crée une pression politique qui dépasse largement la simple extorsion financière. Des experts en cybersécurité interrogés par Heise Online et BankInfoSecurity soulignent que même sans impact direct sur le processus de vote, la compromission de données administratives sensibles constitue une atteinte à la confiance institutionnelle dont les effets sont difficiles à quantifier et à contenir dans le temps.

En France, le CERT-FR n'a pas émis d'alerte spécifique sur cet incident, mais l'ANSSI rappelle régulièrement que les collectivités territoriales françaises présentent un profil de risque similaire à celui du Sénat de Berlin : systèmes hétérogènes, budgets cyber contraints, délais de correctifs longs, et dépendance à des prestataires tiers parfois insuffisamment sécurisés. La directive NIS2, transposée en droit français, impose désormais des obligations renforcées à un grand nombre de collectivités, mais la mise en conformité reste encore partielle pour beaucoup d'entre elles.

Impact et exposition

L'impact direct concerne les agents de l'administration berlinoise dont les données personnelles et de paie ont été exfiltrées, les résidents dont les dossiers administratifs sont potentiellement compromis, et les prestataires liés par les NDA désormais en possession de Rhysida. L'impact indirect touche la confiance dans les institutions démocratiques en période électorale et constitue un risque systémique pour les infrastructures critiques de la capitale allemande si les données d'analyse hydraulique venaient à être revendues ou exploitées.

Recommandations

• Segmentation réseau immédiate : isoler les systèmes critiques (RH, paie, infrastructure critique) du réseau bureautique général. Un attaquant avec un accès au réseau administratif ne doit pas pouvoir atteindre les systèmes sensibles.
• Procédures d'isolement prédéfinies : formaliser et tester des procédures d'isolement d'urgence activables en moins d'une heure, sans validation hiérarchique complète. Le RSSI doit avoir l'autorité de décider l'isolement immédiat en cas de suspicion confirmée.
• Sauvegarde 3-2-1 immuable : maintenir trois copies sur deux supports différents, dont une hors ligne et hors réseau, testée régulièrement en restauration complète sur des environnements de recette.
• Authentification multi-facteurs obligatoire sur tous les services d'accès distant (VPN, RDP, webmail), y compris pour les comptes d'administration de domaine.
• Exercice de crise tabletop : simuler un scénario ransomware complet impliquant la direction, la DSI, la communication et, pour les collectivités, les élus — avant qu'un incident réel ne teste la résilience en conditions dégradées.