Les autorités berlinoises ont refusé de répondre à une demande de rançon de 30 Bitcoins après qu'une cyberattaque a frappé deux agences d'État, tandis que les responsables n'ont pas encore confirmé le volume de données prétendument volées.
Résumé
- Des pirates auraient exigé 30 Bitcoins, d'une valeur d'environ 2 millions d'euros, après une cyberattaque ayant touché deux agences d'État berlinoises.
- Les attaquants ont menacé de publier les informations volées, tandis que les responsables berlinois ont refusé de payer et n'ont pas confirmé le montant de la rançon signalé.
- Berlin a d'abord déclaré que seules des informations publiques avaient été compromises, mais a ensuite reconnu que des données non publiques avaient été affectées.
- Rhysida aurait revendiqué l'attaque et affirmé avoir obtenu des fichiers sensibles, bien que les autorités berlinoises n'aient pas vérifié l'étendue complète du prétendu vol.
La Chancellerie du Sénat de Berlin a déclaré qu'elle ne divulguerait pas de détails sur les attaquants, leurs demandes ou les informations potentiellement extraites des systèmes gouvernementaux tant que l'enquête reste active. Un porte-parole du Sénat a déclaré à l'agence de presse allemande dpa que les responsables ne pouvaient pas commenter « pour des raisons d'enquête » à ce stade.
Cette position laisse plusieurs détails de l'attaque non confirmés par le gouvernement de l'État, notamment les rapports selon lesquels le groupe de ransomware Rhysida aurait obtenu des fichiers sensibles et menacé de les publier à moins que Berlin ne paie environ 2 millions d'euros en Bitcoin.
Berlin a refusé la demande signalée de 30 Bitcoins
Le maire de Berlin, Kai Wegner, a confirmé après une réunion spéciale du Sénat vendredi que l'État était confronté à une tentative d'extorsion à la suite de la cyberattaque.
« L'État de Berlin ne se laissera pas faire chanter », a déclaré Wegner.
Il n'a pas publiquement identifié les attaquants ni divulgué le montant exigé. La sénatrice de l'Intérieur, Iris Spranger, s'est jointe à Wegner pour informer le public après la réunion, tandis que les autorités continuaient d'examiner quelles informations avaient quitté les systèmes gouvernementaux.
Le magazine allemand Der Spiegel a rapporté que Rhysida était derrière l'attaque, citant des informations publiées par le groupe de ransomware sur son site de fuite sur le dark web. Des sources de sécurité citées par la publication auraient identifié Rhysida comme le groupe responsable de la tentative d'extorsion.
Les attaquants ont exigé 30 BTC et menacé de publier les informations si Berlin ne payait pas, selon le rapport. Au prix actuel, la demande valait environ 2 millions d'euros.
Rhysida aurait affirmé avoir pris près de six téraoctets de données. Les fichiers présumés comprennent des informations provenant de dizaines de milliers de procédures de contravention administrative, des contrats, des mots de passe, des identifiants de connexion, des plans d'urgence et des documents liés aux infrastructures critiques.
Les autorités berlinoises n'ont pas confirmé de manière indépendante le volume de données revendiqué par le groupe ni la liste complète des enregistrements compromis.
Cette distinction est devenue importante pour le récit officiel de l'incident car l'évaluation du gouvernement a changé après la découverte de l'attaque. Les responsables ont d'abord déclaré que seules des informations accessibles au public avaient été prises avant que la Chancellerie du Sénat ne reconnaisse mercredi dernier que des données non publiques étaient affectées.
La cyberattaque a forcé deux agences berlinoises à se déconnecter du réseau de l'État
L'attaque est devenue publique le 14 août et a touché le département sénatorial du développement urbain, de la construction et du logement de Berlin et le département sénatorial de la mobilité, des transports, de la protection du climat et de l'environnement.
Les deux agences ont été temporairement déconnectées du réseau de l'État de Berlin pendant que les responsables travaillaient à contenir l'incident.
La séparation a duré environ une semaine et a perturbé certains services administratifs. Les rapports allemands ont indiqué que les résidents étaient temporairement incapables de demander ou de recevoir des prestations de logement pendant que les systèmes affectés restaient isolés.
Les enquêteurs déterminent toujours quand l'intrusion a commencé et combien d'informations ont quitté le réseau. Des rapports citant l'enquête ont indiqué que des données auraient pu être extraites entre le 7 et le 12 août, plusieurs jours avant que les responsables ne détectent l'attaque.
L'Office de police criminelle de l'État de Berlin et les procureurs enquêtent sur la violation. Wegner a déclaré que les autorités de sécurité de l'État et fédérales travaillaient à identifier les auteurs tandis que les responsables continuaient de vérifier quels fichiers avaient été consultés ou supprimés.
Spranger a déclaré que l'attaque n'avait pas compromis les préparatifs de l'élection régionale de Berlin du 20 septembre, décrivant l'infrastructure électorale comme entièrement sécurisée.
Le cas de ransomware fait suite à une autre cyberattaque gouvernementale impliquant une demande de Bitcoin rapportée par crypto.news en juillet. Des pirates ont pris le contrôle du site officiel du président kenyan William Ruto et ont exigé 5 BTC tout en menaçant de divulguer des informations non spécifiées.
Les autorités kenyanes ont temporairement restreint l'accès au site Web et ouvert une enquête. L'Autorité des TIC du pays a déclaré à l'époque que les enquêteurs n'avaient trouvé aucune preuve que des informations sensibles aient été consultées, volées ou perdues.
Rhysida opère comme groupe de ransomware depuis 2023
Rhysida a émergé en 2023 et a été lié à des attaques contre des organismes gouvernementaux, des organisations de santé et d'autres institutions dans plusieurs pays.
Le groupe a précédemment ciblé des organisations telles que la British Library et l'Armée chilienne. Ses opérations combinent généralement l'intrusion réseau avec des demandes de paiement, tandis que la menace de publier des informations volées peut être utilisée pour faire pression sur les victimes.
Le Bitcoin et d'autres cryptomonnaies ont été fréquemment impliqués dans des cas de ransomware car les attaquants peuvent diriger les paiements vers des adresses blockchain sans utiliser de comptes bancaires conventionnels.
Les transactions publiques sur la blockchain peuvent toujours être suivies. Un rapport de crypto.news sur la criminalistique blockchain a détaillé comment les enquêteurs peuvent retracer les mouvements de cryptomonnaies entre adresses et utiliser les modèles de transaction et d'autres informations pour relier les fonds à des services ou à des individus.
Les forces de l'ordre ont récupéré des cryptomonnaies provenant d'opérations de ransomware dans des affaires précédentes. En août 2025, les autorités américaines ont saisi 1,09 million de dollars en cryptomonnaies liées au groupe de ransomware BlackSuit, ainsi que quatre serveurs et neuf domaines.
BlackSuit avait été lié à plus de 450 victimes américaines connues et à plus de 370 millions de dollars de demandes de rançon depuis 2022. Une victime a payé 49,3 BTC en 2023 après une attaque, et les enquêteurs ont ensuite récupéré une partie du paiement, selon le ministère de la Justice.
Une autre affaire américaine en juillet impliquait un membre présumé du groupe de piratage Scattered Spider. Les procureurs fédéraux ont inculpé Peter Stokes, 19 ans, pour une intrusion présumée dans une entreprise et une demande de rançon infructueuse de 8 millions de dollars en cryptomonnaie.
Berlin n'a pas confirmé les affirmations de Rhysida concernant les données
L'enquête de Berlin reste concentrée sur l'établissement de l'étendue de la violation, tandis que le gouvernement retient des détails que les responsables disent pourraient affecter l'enquête.
Les affirmations de Rhysida concernant les données volées proviennent des communications du groupe sur le dark web et n'ont pas été entièrement vérifiées par le gouvernement de Berlin. Les responsables ont confirmé que des informations non publiques ont été affectées, inversant l'évaluation initiale selon laquelle les données compromises se limitaient à des informations accessibles au public.
La Chancellerie du Sénat n'a pas divulgué si les enquêteurs ont vérifié la demande signalée de 30 BTC, les près de six téraoctets prétendument pris ou les catégories individuelles d'informations que Rhysida prétend posséder.
Wegner a déclaré que les autorités au niveau de l'État et fédéral travaillaient à identifier le groupe responsable, tandis que l'Office de police criminelle de l'État de Berlin et les procureurs poursuivaient leur enquête sur l'attaque.
