Rhysida revendique 5,79 téraoctets de données du gouvernement de Berlin : rançon refusée, enquête en cours

Comment l'attaque contre le réseau administratif a été révélée

Le gouvernement du Land de Berlin gère une affaire d'extorsion informatique après une attaque contre le réseau administratif de la ville-État. La compromission a été rendue publique le 17 août, lorsque les autorités ont isolé du réseau le département du Sénat pour la mobilité, les transports, la protection du climat et l'environnement ainsi qu'un second département. Les investigations forensiques ont ensuite situé l'exfiltration effective des données entre le 7 et le 12 août. Le département touché avait signalé en interne un premier flux anormal dès le 7 août, dix jours avant l'annonce officielle. Tous les départements du Sénat ont été reconnectés au réseau le 23 août, mais les vérifications forensiques se poursuivent.

Le groupe de ransomware Rhysida a revendiqué l'attaque sur son site de fuites le 28 août avec une entrée intitulée « Berlin, Germany ». Le groupe déclare avoir dérobé 5,79 téraoctets de données en environ 1,44 million de fichiers, dont des informations personnelles de 12 076 personnes. Les autorités berlinoises ont déjà refusé la demande de rançon. La chaîne RBB avait été la première à faire état de la demande d'extorsion.

Ce que contient la revendication : des dossiers du personnel aux identifiants en clair

Les chiffres et les contenus indiqués par Rhysida n'ont pas été vérifiés de manière indépendante. Le groupe affirme détenir des données personnelles de 12 076 personnes : 16 389 adresses e-mail, 11 963 numéros de téléphone et 148 IBAN. Plus de 5 000 dossiers du personnel et autant de dossiers d'infractions administratives compléteraient le butin, avec des données de rémunération et des informations sur la direction.

La revendication mentionne également des mots de passe en clair et des identifiants pour les systèmes GebäudAtlas, la base de données ePayment PAYONE et des comptes Z_ADMIN. Rhysida affirme avoir dérobé des documents gouvernementaux et juridiques : procédures disciplinaires, affaires judiciaires, actes de surveillance, accords de non-divulgation et protocoles de commissions du Bundesrat. Figurent aussi des données relatives à la gestion de matériel classifié et des documents qui contiendraient des secrets d'État, des analyses de vulnérabilité du réseau d'eau de Berlin, des passeports et des cartes d'identité issus de dossiers du personnel, des contrats, des documents financiers, des données de santé, des archives de mots de passe et des archives SQL/PST.

Selon Rhysida, ces éléments pourraient constituer des violations du RGPD, des règles allemandes sur les informations classifiées, du droit pénal et des exigences KRITIS/BSIG pour les infrastructures critiques.

Qui est Rhysida et comment il s'introduit dans les réseaux

Des services de suivi cités par Reuters attribuent à Rhysida environ 280 victimes depuis ses débuts en 2023. Neuf d'entre elles se trouvent en Allemagne ; parmi les cibles notables figurent la British Library et l'armée chilienne. Environ la moitié des victimes sont aux États-Unis, suivis du Royaume-Uni, du Canada et de l'Italie : une répartition qui suggère une sélection fondée sur l'opportunité plutôt que sur la géographie.

Un avis conjoint CISA-FBI-MS-ISAC publié en novembre 2023 identifie les vecteurs d'accès typiques du groupe : identifiants VPN compromis dans des organisations dépourvues d'authentification multifacteur, exploitation de la vulnérabilité Zerologon corrigée par Microsoft en 2020 et phishing traditionnel. Le vecteur utilisé dans l'attaque de Berlin n'a pas été communiqué. Les investigations forensiques sont toujours en cours et les systèmes reconnectés restent sous vérification.

Les conséquences pour les personnes et le risque électoral

Au moment de la publication, ni l'autorité berlinoise de protection des données ni la Chancellerie du Sénat n'ont fourni d'indications spécifiques aux quelque 12 000 personnes dont Rhysida affirme avoir volé les données. L'autorité régionale de protection des données et l'agence fédérale allemande de sécurité informatique (BSI) suivent l'enquête. Il n'est pas encore établi exactement ce qui a fait l'objet d'un accès et d'une soustraction : l'absence de communications officielles ne signifie pas que les systèmes sont sûrs.

La proximité des élections rend le cas particulièrement délicat. Le 20 septembre, Berlin élira son parlement régional. La sénatrice à l'Intérieur, Iris Spranger, a déclaré que le scrutin reste sûr et que, jusqu'à présent, les attaquants n'auraient pas dérobé de données liées à l'élection. Les responsables de la sécurité partagent cette évaluation.

Dans une déclaration conjointe diffusée avant la revendication sur le site de fuites, le maire-gouverneur Kai Wegner et la sénatrice Spranger ont affirmé que le Land de Berlin ne cédera pas à l'extorsion. Cette position rejoint l'avertissement des agences fédérales américaines selon lequel payer ne garantit pas la récupération des données et peut encourager de nouvelles attaques.

Ce qu'il reste à clarifier et ce que peuvent faire les organisations

Le délai entre la première détection interne du 7 août et l'isolement du réseau annoncé le 17 août sera probablement examiné de près. Les versions exactes des systèmes concernés ne sont pas connues, pas plus que le mode d'accès initial : VPN, Zerologon ou phishing.

Pour les organisations qui utilisent des infrastructures similaires, les contre-mesures cohérentes avec les vecteurs connus de Rhysida restent au nombre de trois : adopter l'authentification multifacteur pour les VPN et les systèmes exposés, appliquer le correctif Microsoft pour Zerologon publié en 2020 et renforcer les défenses anti-phishing. Les autorités berlinoises ont déjà refusé le paiement de la rançon. Les investigations forensiques sont en cours et les systèmes reconnectés restent sous vérification.