La capitale allemande a choisi la ligne dure face au chantage numérique : refusant de céder 30 BTC au groupe Rhysida, Berlin a vu plus de 1,44 million de fichiers volés diffusés en libre téléchargement sur le darknet début septembre 2026.
🔑 En bref
- Le groupe Rhysida a revendiqué le vol de 5,79 To de données (~1,44 M de fichiers) auprès de l’administration berlinoise le 14 août 2026.
- Les pirates exigeaient une rançon de 30 bitcoins, soit environ 2 M€ au cours du moment.
- Le maire Kai Wegner a refusé tout paiement, estimant impossible de garantir la suppression des données.
- Faute de rançon, Rhysida a publié les données sur le darknet le 4 septembre 2026.
- Les élections municipales du 20 septembre 2026 sont maintenues, l’infrastructure électorale n’étant pas affectée.
Une cyberattaque d’ampleur contre le Land de Berlin
Le 14 août 2026, l’administration du Land de Berlin a été frappée par une cyberattaque majeure revendiquée quelques jours plus tard par le groupe Rhysida. L’intrusion a touché plusieurs services clés : logement, environnement, mobilité et transports. Les systèmes concernés ont été déconnectés du réseau administratif pendant une semaine, bloquant notamment le traitement et le versement des allocations logement. Les services ont depuis été reconnectés, tandis que les investigations forensiques se poursuivent pour déterminer l’étendue exacte de la compromission.
Dans une communication publiée le 28 août sur son site de fuite, Rhysida affirme avoir exfiltré 5,79 téraoctets de données, représentant près de 1,44 million de fichiers. Le groupe assure y’avoir dérobé des noms, adresses e-mail, 148 IBAN, identifiants, mots de passe, dossiers du personnel, bulletins de paie, pièces d’identité, contrats, informations disciplinaires et documents relatifs à des infrastructures critiques. Ces chiffres n’ont pas été confirmés officiellement par les autorités berlinoises, qui ont toutefois reconnu une exfiltration de données avant la déconnexion des systèmes.
30 bitcoins de rançon et un refus catégorique
Rhysida a fixé un ultimatum de sept jours, avec une échéance au vendredi 4 septembre 2026. En début de soirée, le maire conservateur Kai Wegner confirmait publiquement la tentative d’extorsion. Le lendemain, il admettait dans la presse le vol de données sensibles et déclarait vouloir informer les personnes concernées dans les meilleurs délais.
| Élément | Détail |
|---|---|
| Date de l’attaque | 14 août 2026 |
| Groupe | Rhysida |
| Rançon demandée | 30 BTC (~2 M€) |
| Données revendiquées | 5,79 To / 1,44 M fichiers |
| Date de publication | 4 septembre 2026 |
| Position de Berlin | Refus total de paiement |
Le refus de payer a été confirmé tant par Kai Wegner que par Iris Spranger, sénatrice de l’Intérieur. Le maire, relayé par Bild, a justifié cette position en pointant l’impossibilité de garantir la suppression effective des données après un paiement, qualifiant la situation de « grave délit ».
« Qui peut affirmer que, même si nous avions payé, ces données ne se trouveraient pas déjà ailleurs depuis longtemps ? Berlin ne cédera pas au chantage. »
Kai Wegner, maire de Berlin
Cette ligne de conduite est partagée par plusieurs experts en cybersécurité. Bianca Kastl, experte au Chaos Computer Club, interrogée sur la radio publique allemande RBB Inforadio, a estimé :
« Si l’on continue à soutenir ces groupes financièrement ou d’une autre manière, ils continueront à agir. »
Bianca Kastl, Chaos Computer Club
Des données publiées et un risque d’usurpation massif
Le 4 septembre 2026, Rhysida a mis sa menace à exécution : plus d’un million de fichiers ont été rendus disponibles au téléchargement sur le darknet, en plusieurs lots. Le site Tagesschau de la télévision publique allemande a confirmé la publication le 5 septembre. Selon RBB, les pirates ont accompagné cette mise en ligne d’un message laconique : « Amusez-vous bien, chasseurs de données ».
Parmi les fichiers diffusés figurent des bulletins de salaire, contrats, pièces d’identité numérisées et, possiblement, des informations sensibles relatives à des projets de construction. La présence de signatures, d’IBAN et de documents d’identité expose les personnes concernées à un risque accru de vols d’identité et de fraudes bancaires. Les autorités berlinoises ont indiqué que les administrations sénatoriales informeront les personnes identifiées comme à risque, conformément aux dispositions légales.
Un mode opératoire déjà rodé
Le groupe Rhysida n’en est pas à son premier coup d’éclat. En automne 2023, il avait ciblé la British Library de Londres, exigeant 20 bitcoins (plus de 760 000 € à l’époque). La bibliothèque britannique avait refusé de payer, et Rhysida avait publié environ 500 000 fichiers contenant les données personnelles de visiteurs, d’abonnés et du personnel.
Le BSI (Office fédéral de la sécurité des technologies de l’information) allemand a indiqué que le piratage de Berlin semble « exclusivement motivé par des raisons financières » et non par des motivations politiques. L’enquête est menée conjointement par la police criminelle du Land de Berlin, le parquet de Berlin et les autorités fédérales de sécurité, avec le soutien du gouvernement fédéral qui suit l’affaire de près.
Conclusion : un test de résilience à un mois des élections
Cette cyberattaque survient à un mois des élections municipales du 20 septembre 2026. Les autorités berlinoises ont assuré n’avoir découvert aucun élément indiquant une compromission des données électorales et considèrent l’infrastructure technique du scrutin comme sécurisée. Le vote est maintenu malgré la fuite de documents sensibles qui touche des centaines de milliers de citoyens.
L’affaire illustre la tendance croissante des ransomwares (rançongiciels) à exiger un paiement en bitcoin, monnaie numérique difficile à tracer mais traçable sur la blockchain (registre public et immuable des transactions). Le choix de Berlin — refuser de payer et accepter la fuite publique des données — pourrait devenir un précédent dans la lutte contre l’extorsion numérique et renforcer la doctrine du « no pay » défendue par plusieurs agences de cybersécurité. Reste à mesurer, dans les semaines à venir, l’impact réel sur les citoyens berlinois désormais exposés à un risque élevé de fraude et d’usurpation d’identité.
Sources
Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.
