Rhysida publie des données de l'administration berlinoise : Bundesrat, NDAs et infrastructures critiques exposés

Les faits

Début septembre 2026, le groupe ransomware Rhysida a ajouté l'administration de la ville de Berlin (Senatsverwaltung) à la liste des victimes publiées sur son portail darknet de fuite de données. C'est la première fois qu'une administration régionale allemande de ce niveau est directement ciblée et listée par Rhysida — un groupe apparu en mai 2023 qui s'est depuis imposé comme l'un des acteurs ransomware les plus actifs en Europe, avec des opérations documentées contre des hôpitaux, des universités, des collectivités et des entités gouvernementales dans une dizaine de pays.

Selon les informations recueillies par des journalistes spécialisés en sécurité ayant accédé au site de fuite de Rhysida, les données exfiltrées comprennent plusieurs catégories particulièrement sensibles. On y trouve des documents des commissions du Bundesrat (chambre haute du Parlement fédéral allemand), dont certains portent des marquages de confidentialité. Le lot comprend également plus de 3 200 documents identifiés comme des accords de non-divulgation (NDA) couvrant des partenariats public-privé berlinois, ainsi que des évaluations de sécurité portant sur l'approvisionnement en eau de Berlin et d'autres infrastructures critiques de la capitale fédérale.

La présence de documents relatifs à la sécurité des infrastructures critiques est la dimension la plus préoccupante de cette fuite. Ces évaluations peuvent contenir des informations sur les points de vulnérabilité des systèmes de distribution d'eau, les plans de continuité des réseaux électriques, ou les procédures d'urgence des transports en commun. De telles informations ont une valeur opérationnelle pour des acteurs étatiques hostiles cherchant à planifier des opérations de sabotage ou de déstabilisation. Le Bundesamt für Sicherheit in der Informationstechnik (BSI) a été alerté et une cellule de crise a été activée.

Rhysida opère selon un modèle Ransomware-as-a-Service (RaaS) dans lequel des affiliés tiers louent l'infrastructure et les outils du groupe pour conduire les attaques. Le groupe est notamment connu pour ses attaques contre la British Library (octobre 2023, dont les effets ont perturbé les services pendant plus de neuf mois), l'Armée du Salut aux États-Unis, et plusieurs hôpitaux espagnols et irlandais. En 2025 et 2026, Rhysida a accéléré ses opérations contre le secteur public européen, tirant parti de budgets sécurité contraints et de systèmes informatiques vieillissants dans les administrations.

Le vecteur d'accès initial utilisé dans l'attaque contre l'administration berlinoise n'a pas encore été confirmé officiellement. Rhysida utilise généralement le phishing ciblé comme porte d'entrée, parfois combiné à l'exploitation de services VPN vulnérables (Fortinet, Cisco, Palo Alto en fin de vie de support) ou à l'abus de services de collaboration mal sécurisés. Une fois l'accès initial obtenu, le groupe déploie des outils légitimes de post-exploitation — Cobalt Strike, PsExec, Impacket — pour le mouvement latéral et la reconnaissance interne, avant d'exfiltrer les données vers ses serveurs C2 puis de déployer le ransomware pour chiffrement.

L'incident berlinois illustre une tendance lourde documentée tout au long de 2026 : les administrations publiques européennes sont devenues des cibles privilégiées des groupes ransomware. Selon le rapport Black Kite 2026 Ransomware Report, 7 551 victimes de ransomware ont été recensées dans le monde sur les douze derniers mois, soit une hausse de 24,9 % par rapport à 2025. Le secteur public représente une part croissante de ce total, combinant systèmes informatiques vieillissants, budgets sécurité structurellement insuffisants, et stocks de données à haute valeur de chantage.

Sur le plan légal, cet incident déclenche plusieurs obligations réglementaires pour la ville de Berlin. En vertu du RGPD, si des données personnelles de citoyens ont été exfiltrées — ce qui semble être le cas au regard du contenu publié — l'administration doit notifier l'autorité de contrôle compétente (le Berliner Beauftragter für Datenschutz und Informationsfreiheit) dans les 72 heures suivant la prise de connaissance de la violation. Par ailleurs, en tant qu'entité essentielle au sens de la directive NIS2 transposée en droit allemand (BSIG révisé), la ville de Berlin est soumise à des obligations de signalement des incidents significatifs auprès du BSI.

La réponse à incident de l'administration berlinoise suit désormais un protocole classique : containment des systèmes compromis, forensique pour déterminer le périmètre exact de l'exfiltration, notification des parties prenantes affectées, et communication publique contrôlée. L'absence de confirmation publique d'une demande de rançon spécifique laisse ouverte la question de savoir si la ville a ou non payé — une pratique que les autorités européennes déconseillent formellement, sans pour autant l'interdire légalement dans tous les États membres.

L'attaque contre Berlin fait écho à d'autres incidents récents contre des administrations européennes : la mairie de Palermo (Italie) touchée par BlackBasta en 2024, la Région Île-de-France ciblée en 2025. Pour les équipes sécurité des collectivités françaises, cet incident est un signal d'alarme : la numérisation des documents administratifs sensibles sans chiffrement adapté et sans segmentation rigoureuse des systèmes crée des stocks de données vulnérables face aux groupes ransomware modernes.

Impact et exposition

L'impact immédiat concerne les personnes physiques et les entités dont les informations figurent dans les documents exfiltrés : citoyens berlinois, partenaires contractuels, élus et fonctionnaires. À moyen terme, la divulgation d'évaluations de sécurité sur les infrastructures critiques constitue un risque pour la sécurité physique de la capitale fédérale. Pour les administrations françaises et européennes, cet incident est un signal d'alarme immédiat sur la nécessité de segmenter et chiffrer les données sensibles.

Recommandations

• Évaluer votre exposition au phishing ciblé : les campagnes Rhysida utilisent des leurres très contextualisés — former les agents à la détection du spear-phishing est une priorité opérationnelle.
• Auditer les accès VPN et services RDP exposés : vecteurs d'accès initial favoris de Rhysida, notamment via des credentials volés ou des logiciels VPN non patchés.
• Chiffrer au repos les documents sensibles et restreindre les accès aux informations relatives aux infrastructures critiques à une liste d'utilisateurs strictement nécessaires (principe du moindre privilège).
• Tester les procédures de notification RGPD et NIS2 avant qu'une crise ne survienne — identifier les interlocuteurs, les délais et les canaux de notification dans votre organisation.
• Mettre à jour les sauvegardes hors-ligne et tester leur restauration régulièrement : c'est la seule alternative au paiement de la rançon en cas de chiffrement massif.