Berlin confirme la tentative d'extorsion après intrusion dans le réseau administratif de l'Etat

Les autorités de Berlin ont confirmé que le gouvernement de l'État avait fait l'objet d'une tentative d'extorsion après une intrusion qui a affecté le réseau administratif de l'État en août. L'enquête médico-légale interne a révélé des fuites de données relatives au portefeuille du Sénat pour la mobilité, les transports, la protection du climat et l'environnement (exfiltration datée du 7 au 12 août 2026) et a déclaré qu'il ne pouvait être exclu que des renseignements personnels ou non publics soient disponibles dans les dossiers volés. L'exécutif local a déclaré qu'il ne paierait pas les extorseurs. En même temps, un site de fuites attribué par les moyens et les services de surveillance à un groupe connu sous le nom de Rhysida a publié le 28 août une collecte présumée de données que l'acteur attribue à "Berlin, Allemagne", indiquant 5,79 téraoctets et données personnelles sur 12 076 individus; ces chiffres proviennent de l'acteur lui-même et n'ont pas été confirmés par l'État.

Faits confirmés : Le réseau administratif de l ' État a été envahi et, par conséquent, isolé des départements; l ' enquête médico-légale a permis de détecter des exfiltrations de données vers la date indiquée; les autorités compétentes − police de l ' État, parquet et services de sécurité fédéraux − et le Bureau fédéral de la sécurité de l ' information (BSI) et le commissaire à la protection des données ont été informés.

Éléments encore incertains ou signalés par des tiers: l'attribution technique et juridique de l'attaque n'a pas été officiellement ratifiée par le Sénat; le volume et la nature exacte des données extraites - au-delà desquelles elles peuvent inclure des renseignements personnels - sont toujours à l'étude; la figure et les détails publiés par l'acteur sur son site de fuites n'ont pas été vérifiés par des experts indépendants de l'État.

Techniquement, la campagne s'adapte à la modalité que les agences de sécurité et les centres d'intervention américains ont documentée pour des groupes tels que Rhysida : accès initial par des comptes valides dans des services exposés (par exemple les portes de liaison VPN) en cas d'absence de protection de l'authentification multi-facteurs (MFA); exploitation de vulnérabilités à la levée de privilèges dans l'infrastructure Windows (par exemple, vulnérabilité Zerologon, CVE-2020-1472, qui permet de compromettre les contrôleurs de domaine s'ils ne sont pas corrigés); ou par phishing pour capturer des identifiants. Une fois à l'intérieur, l'acteur effectue des mouvements latéraux, ajoute et compresse des données pertinentes et les exfiltre à des serveurs externes pour demander un sauvetage ou pour les publier sur un site de filtrage comme une tactique « double extorsion ». Les précédents rapports publics sur Rhysida et les conseils d'organismes comme la CISA soulignent la récurrence de ces techniques et recommandent des mesures concrètes d'atténuation ( CISA - Lignes directrices sur les ransomwares, document de référence pour les défenseurs).

Les implications spécifiques pour les citoyens et les organisations sont diverses et pratiques. Pour les personnes dont les données peuvent apparaître dans une fuite : risque immédiat de substitution d'identité, fraude par courriel ou SMS (phishing / SMiShing), et exposition d'informations sensibles qui pourraient être utilisées pour l'extorsion directe. Pour l'administration publique: perte de confiance, éventuelle obligation juridique de notifier les personnes concernées conformément aux règles de protection des données, interruptions opérationnelles (par exemple, l'indisponibilité temporaire de services tels que l'aide au logement) et coûts de l'intervention médico-légale, de la médiation et des communications. Au niveau civique, il y a aussi une dimension politique: bien que les autorités aient déclaré que, pour l'instant, rien n'indique que les systèmes liés à la gestion des élections régionales du 20 septembre aient été compromis, la situation nécessite un suivi continu jusqu'à ce que les experts le confirment.

Conséquences réelles et probables: À court terme, la dégradation continue des services et l ' intensification des tentatives de fraude visant les personnes potentiellement touchées; à moyen terme, les enquêtes criminelles en cours et les éventuelles charges administratives et financières pesant sur l ' État; à long terme, la nécessité de renforcer les contrôles d ' accès, la segmentation des réseaux et les politiques de gestion des pouvoirs pour réduire le risque de récidive.

Recommandations pratiques et spécifiques pour certains lecteurs : modifier les mots de passe critiques et activer l'authentification multifactorielle (AMF) dans la mesure du possible; méfier les courriels, SMS ou appels qui demandent des informations ou un accès - en particulier s'ils prétendent être liés à "votre cas" ou à des services publics -; examiner les notifications officielles et les communications directes du gouvernement de Berlin avant de suivre les instructions; surveiller les mouvements bancaires et les alertes de crédit dans votre pays, et envisager de geler le rapport de crédit si vous soupçonnez un risque de fraude d'identité. Si vous avez reçu un avis direct de l'administration, suivez les instructions officielles et demandez par les canaux vérifiés.

Pour les chefs d'entreprise et d'organisation, la liste des mesures immédiates comprend : la conservation des dossiers et des preuves pour la recherche médico-légale, l'isolement des systèmes touchés, l'examen et le renforcement de la segmentation du réseau, le rétablissement des titres de compétence dans les comptes à accès à distance, la mise en œuvre de l'AMF à tous les points d'accès exposés, la hiérarchisation des correctifs des vulnérabilités connues (p. ex., l'atténuation des CVE-2020-1472 s'il est appliqué - informations plus techniques dans le guide Microsoft sur Zerologon CVE-2020-1472) et préparer un plan de communication clair pour les utilisateurs et les régulateurs. Il n'y a aucune garantie de recouvrement après avoir payé une rançon; les organismes de sécurité recommandent de ne pas financer les agresseurs et de coordonner l'intervention avec les équipes chargées de l'application des lois et de l'intervention en cas d'incident.

En ce qui concerne la communication au public, les autorités devraient accélérer et clarifier deux points essentiels pour réduire les dommages collatéraux: fournir une liste claire des types de données (le cas échéant, par des registres ou des services) qui pourraient avoir été violés; et donner des instructions pratiques aux personnes concernées, y compris des contacts de vérification et des mesures d'atténuation (par exemple, où signaler les tentatives de fraude). L'absence d'informations détaillées accroît l'exposition des citoyens et facilite les campagnes d'hameçonnage qui profitent de l'incertitude.

Enfin, bien que l'attribution publique à un acteur spécifique tel que Rhysida figure dans les rapports de presse et dans les sites de filtration, la confirmation officielle doit correspondre aux enquêtes judiciaires et judiciaires en cours. Jusqu'à ce que ces résultats soient publics, les chiffres de volume et les détails des dossiers publiés par l'agresseur présumé devraient être traités comme des estimations non vérifiées. Ce qui n'est pas répondu, c'est la leçon opérationnelle : la prévention de base (AMF, patching, segmentation, sauvegarde hors ligne et sensibilisation au phishing) reste la défense la plus efficace contre ce type d'agression ; le renforcement de ces mesures est l'action pratique la plus rentable et la plus urgente pour les administrations et les citoyens.