Rhysida attaque Berlin : 5,79 To volés avant les élections

Rhysida s'attaque à la capitale allemande à moins de trois semaines des élections

Le groupe cybercriminel Rhysida a publié le 28 août 2026 une revendication sur son site de fuite hébergé dans le dark web, affirmant avoir compromis le réseau informatique administratif de l'État de Berlin. Selon les attaquants, ils ont exfiltré pas moins de 5,79 téraoctets de données, représentant environ 1,44 million de fichiers. Le groupe a immédiatement mis ces données aux enchères, fixant un délai d'une semaine avant de menacer de les publier intégralement si la rançon de 30 bitcoins — soit approximativement 2,3 millions de dollars au cours actuel — n'était pas réglée.

La réaction des autorités berlinoises n'a pas tardé. Dans une déclaration conjointe, le maire de Berlin Kai Wegner et la sénatrice de l'Intérieur Iris Spranger ont été catégoriques : L'État de Berlin ne se soumettra pas à l'extorsion. Cette position, conforme aux recommandations des agences de cybersécurité européennes, place néanmoins les autorités face à une double contrainte : protéger les données personnelles de milliers de citoyens et démontrer leur résilience à un peu moins de trois semaines des élections régionales du 20 septembre 2026.

L'attaque aurait été menée au cours du mois d'août, ciblant spécifiquement le réseau administratif centralisé de la ville-État. Les premières analyses révèlent un périmètre de compromission particulièrement préoccupant. Parmi les données revendiquées par Rhysida figureraient 80 000 dossiers de procédures d'amendes administratives, 46 500 contrats, et près de 6 000 fichiers contenant des identifiants de connexion. Plus grave encore, les données personnelles de 12 076 individus seraient incluses dans le lot, ainsi que des plans de réponse aux urgences et des détails liés aux infrastructures critiques de la ville.

Rhysida est un groupe de ransomware apparu en juin 2023 et qui a, depuis lors, revendiqué près de 280 attaques, principalement contre des entités américaines et européennes. Le groupe est connu pour cibler des organisations à haute visibilité politique — secteur public, santé, éducation — en cherchant à maximiser la pression psychologique et médiatique lors de ses campagnes d'extorsion. La temporalité de cette attaque, si proche du scrutin du 20 septembre, soulève des questions sur la motivation des attaquants : s'agit-il d'une coïncidence ou d'une tentative délibérée de déstabiliser le processus électoral ?

Les autorités allemandes ont tenu à préciser que les infrastructures électorales et les données associées au scrutin n'ont pas été compromises. L'Office fédéral pour la sécurité des systèmes d'information (BSI) a été saisi et collabore avec les équipes informatiques de l'État pour évaluer l'étendue réelle de la compromission. Une cellule de crise a été constituée pour coordonner la réponse technique et juridique face à cette situation inédite dans l'histoire administrative de la capitale allemande.

Sur le plan technique, les attaques Rhysida impliquent généralement une phase de reconnaissance prolongée, suivie d'une exfiltration massive des données avant le déploiement du chiffrement. Ce modèle de double extorsion — payez ou vos données seront publiées — est devenu la norme dans l'industrie du ransomware depuis 2020. Les groupes misent sur la valeur politique et médiatique des données volées pour renforcer leur pouvoir de négociation, en particulier lorsque la victime est une entité gouvernementale soumise à des obligations légales strictes de protection des données.

Les conséquences potentielles de la publication de ces données sont multiples. Les 6 000 fichiers de credentials représentent un risque immédiat de compromissions en cascade sur d'autres systèmes. Les 46 500 contrats pourraient révéler des fournisseurs stratégiques et leurs conditions commerciales sensibles. Quant aux plans d'urgence et aux détails sur les infrastructures critiques, leur divulgation pourrait faciliter de futures attaques physiques ou cyber contre des installations sensibles de la capitale allemande.

L'incident intervient dans un contexte de montée en puissance des cyberattaques contre les collectivités territoriales européennes. En 2025 et début 2026, plusieurs villes allemandes et françaises ont subi des attaques similaires, soulignant la vulnérabilité structurelle des administrations publiques face à des groupes cybercriminels disposant de ressources croissantes et d'une doctrine d'attaque parfaitement rodée. Le cas de Berlin, capitale d'un État membre du G7, a une résonance géopolitique particulière.

Pourquoi les gouvernements restent la cible privilégiée des ransomwares en période électorale

L'attaque contre Berlin illustre une tendance lourde : les groupes de ransomware délaissent progressivement les entreprises privées pour cibler les administrations publiques, les hôpitaux et les universités. Cette stratégie répond à une logique implacable — ces organisations gèrent des données d'une sensibilité politique extrême, disposent souvent de systèmes informatiques sous-financés et hétérogènes, et font face à des pressions supplémentaires lorsqu'une publication de données peut avoir des conséquences directes sur la vie des administrés ou sur des processus démocratiques.

La temporalité électorale n'est pas anodine. Plusieurs attaques contre des municipalités françaises et allemandes ont eu lieu à quelques semaines de scrutins majeurs, alimentant les soupçons sur une instrumentalisation politique possible de certains groupes cybercriminels. Si Rhysida n'est pas formellement attribué à un État sponsor, les analystes de threat intelligence notent que ses cibles présentent une cohérence géopolitique avec les intérêts de certains acteurs étatiques adversariaux, notamment dans le contexte des tensions actuelles entre l'Europe et la Russie.

La posture de refus adoptée par Berlin est conforme aux recommandations de l'ANSSI, du BSI et d'Europol : payer une rançon ne garantit pas la récupération complète des données, légitime le modèle économique des attaquants et finance leurs opérations futures. Cependant, cette posture expose la ville à la publication effective des données, ce qui impose une gestion de crise communicationnelle délicate auprès des 12 076 personnes concernées, dont les droits au titre du RGPD devront être respectés. La notification des personnes physiques concernées doit intervenir sans délai injustifié dès lors que la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés.

Pour les organisations publiques françaises, cet incident est un signal d'alarme supplémentaire. Les schémas directeurs de sécurité, les exercices de crise cyber et la segmentation des réseaux administratifs ne sont plus optionnels. Le plan de réponse aux incidents doit anticiper le scénario de double extorsion, et la coopération avec les CSIRT nationaux doit être établie avant que l'incident ne survienne, pas pendant. La directive NIS2, désormais transposée dans l'ensemble de l'Union européenne, impose des exigences renforcées en matière de notification et de gestion des incidents qui s'appliquent pleinement aux administrations publiques de taille significative.

Ce qu'il faut retenir

• Rhysida revendique 5,79 To de données volées au gouvernement de Berlin, incluant credentials, contrats et données personnelles de plus de 12 000 personnes.
• Berlin refuse de payer la rançon de 30 BTC (environ 2,3 M$), conformément aux recommandations des agences de cybersécurité européennes.
• L'attaque survient 23 jours avant les élections régionales du 20 septembre — les infrastructures électorales auraient été préservées selon les autorités.