La ville de Berlin a confirmé, vendredi 31 août 2026, être la cible d’une cyberattaque d’envergure menée par le groupe de hackers Rhysida. Selon Cryptoast, les pirates ont dérobé plusieurs téraoctets de données et exigent désormais le versement de 30 bitcoins (soit environ 2 millions d’euros) sous peine de mettre ces fichiers aux enchères sur le darkweb.

Ce qu'il faut retenir

  • 30 bitcoins (2M€) : c’est le montant de la rançon exigée par les hackers du groupe Rhysida pour ne pas publier les données volées.
  • 5,79 téraoctets de données compromises, incluant des contrats, des dossiers du personnel et des coordonnées personnelles.
  • Un ultimatum de 7 jours avant la mise aux enchères des fichiers sur le darkweb, lancé depuis un site dédié.
  • Le groupe Rhysida, suspecté d’opérer depuis la Russie et l’Europe de l’Est, a déjà ciblé des institutions comme le British Museum en 2023.
  • Kai Wegner, maire de Berlin, a rejeté toute négociation : « Berlin ne se laissera pas faire chanter ».

Une attaque confirmée par les autorités berlinoises

La Ville-État de Berlin a révélé que l’attaque avait débuté au début du mois d’août, avec une première fuite de données entre le 7 et le 12 août. Deux réseaux départementaux avaient alors dû être fermés, paralysant temporairement les demandes d’aides au logement. Iris Spranger, sénatrice chargée des Affaires intérieures, a précisé que les infrastructures électorales n’avaient pas été compromises, alors que la ville se prépare à des élections dans un mois.

Le groupe Rhysida a publié son ultimatum sur le darkweb, accompagné d’un compte à rebours de sept jours. Passé ce délai, les pirates mettront en vente les données dérobées, avec un prix de départ fixé à 30 bitcoins. Une stratégie déjà observée lors d’autres attaques, comme celle contre le British Museum en 2023, où les données des visiteurs et du personnel avaient été publiées après le refus de payer.

Un groupe de hackers expérimenté dans le ransomware

Apparu en 2023, le groupe Rhysida est connu pour ses attaques contre des institutions publiques et des entreprises à l’échelle mondiale. Selon les informations rapportées par Der Spiegel et confirmées par la BBC, Rhysida aurait déjà revendiqué plusieurs centaines d’attaques. Leur mode opératoire repose systématiquement sur le chantage en cryptomonnaies, avec une préférence marquée pour le Bitcoin malgré sa traçabilité.

Cette tendance n’est pas nouvelle : en 2021, le site Bitcoin.org avait lui-même été victime d’une attaque exigeant une rançon en BTC, tout comme le géant du conseil Accenture quelques semaines plus tard. Le montant réclamé à Berlin, bien que conséquent, reste modéré comparé à d’autres affaires, comme celle du groupe REvil qui avait exigé 70 millions de dollars en 2021.

Le Bitcoin, monnaie de prédilection des rançongiciels

Malgré la transparence de la blockchain, le Bitcoin reste la monnaie privilégiée des pirates en raison de sa liquidité et de la facilité avec laquelle les fonds peuvent être blanchis via des mixeurs ou des plateformes peu coopératives. Cette attaque illustre une fois de plus les défis posés par les cybermenaces, alors que les institutions publiques et privées sont de plus en plus exposées.

Les autorités berlinoises, en collaboration avec la police, le parquet et les services fédéraux de sécurité, ont indiqué travailler « avec la plus grande urgence » pour démanteler le groupe et identifier les responsables. Le maire de Berlin, Kai Wegner, a martelé sa position : « Berlin ne se laissera pas faire chanter », excluant toute négociation avec les pirates.

« Berlin ne se laissera pas faire chanter. »
Kai Wegner, maire de Berlin

Un contexte électoral sous haute tension

Cette cyberattaque survient à un mois des élections berlinoises, un scrutin déjà marqué par une forte polarisation. Si les infrastructures électorales semblent épargnées, l’affaire soulève des questions sur la sécurité des données sensibles en période préélectorale. Les autorités ont rassuré sur ce point, mais l’enquête sur l’étendue exacte de la fuite se poursuit, sans qu’aucun détail supplémentaire n’ait été communiqué pour l’instant.

Les fichiers dérobés incluraient notamment des contrats, des accords de confidentialité, des dossiers du personnel, des mots de passe et des milliers de coordonnées personnelles. Une fuite qui, si elle était confirmée, pourrait avoir des répercussions majeures sur la vie privée des Berlinois et la réputation de la ville.

Et maintenant ?

Les prochaines 48 heures seront cruciales : les autorités berlinoises devraient préciser l’étendue des données compromises et les mesures de protection mises en place pour les citoyens. Si la rançon n’est pas payée dans les sept jours, les pirates pourraient mettre en vente les fichiers sur le darkweb, exposant ainsi des milliers de personnes à des risques d’usurpation d’identité ou de chantage. Une enquête internationale est également attendue pour traquer les membres du groupe Rhysida, dont les activités s’étendent au-delà des frontières allemandes.

Cette affaire rappelle une fois de plus l’urgence pour les institutions de renforcer leurs défenses cybernétiques, alors que les cyberattaques se multiplient et que les rançons en cryptomonnaies deviennent la norme. Reste à savoir si Berlin parviendra à résister à cette pression sans céder au chantage, tout en protégeant les données de ses administrés.

Le Bitcoin est la cryptomonnaie la plus liquide et la plus facile à convertir, malgré sa traçabilité. Les groupes de pirates l’utilisent pour son anonymat relatif, surtout lorsqu’ils recourent à des mixeurs ou des plateformes peu coopératives avec les autorités. C’est devenu la monnaie de prédilection des rançongiciels depuis plusieurs années.

Si la rançon n’est pas versée, les pirates mettront en vente les données volées sur le darkweb dans sept jours. Cela pourrait exposer des milliers de Berlinois à des risques d’usurpation d’identité, de chantage ou de fuites de données sensibles. L’image de la ville pourrait également être durablement affectée.