Un refus programmé avant l'ouverture de l'enchère
La plupart des histoires de rançongiciels suivent une séquence familière : les attaquants volent des données, ils annoncent une liste sur un site de fuite, et ce n'est qu'ensuite que l'organisation victime répond publiquement. Le gouvernement de l'État de Berlin a brisé ce schéma. Selon les reportages sur l'incident, le bourgmestre-gouverneur Kai Wegner et Iris Spranger, sénatrice de Berlin pour l'intérieur et les sports, ont publié une déclaration conjointe refusant de payer une rançon à 15 h 39 heure de Berlin, avant même que les extorqueurs n'aient publiquement affiché leur revendication. Ce même après-midi, l'équipe de rançongiciel responsable a mis aux enchères ce qu'elle décrit comme 5,79 téraoctets de données des agences de l'État de Berlin.
L'ordre des événements importe. Les responsables de Berlin n'ont pas attendu de voir comment la tentative d'extorsion allait se dérouler ni si la pression publique allait monter. Ils ont fait connaître leur position de manière préventive, supprimant ainsi tout levier que les attaquants auraient pu espérer gagner en menaçant une révélation publique. C'est un détail petit mais révélateur dans une affaire qui a déjà attiré l'attention pour la décision de Berlin de rejeter catégoriquement la demande de rançon.
Qui est Rhysida et qu'est-ce qui a été volé
Le groupe derrière l'attaque est Rhysida, une opération de rançongiciel qui a ciblé les réseaux gouvernementaux et du secteur public. Dans le cas de Berlin, l'intrusion dans les systèmes administratifs de l'État de la ville n'a pas été détectée et contenue immédiatement. Les reportages sur la chronologie de l'incident indiquent qu'un écart d'environ sept jours entre la détection et le confinement a donné à Rhysida suffisamment de temps pour exfiltrer l'intégralité des 5,79 téraoctets de données avant que la connexion ne soit finalement coupée. Cette fenêtre, entre la détection d'une activité suspecte et son arrêt effectif, est souvent le moment où les incidents de rançongiciel passent de contenus à catastrophiques.
Une fois que Berlin a clairement indiqué qu'il ne paierait pas, Rhysida a mis sa menace à exécution. Le groupe a inscrit les données volées aux enchères, une tactique de plus en plus courante chez les opérateurs de rançongiciel qui ne dépendent plus uniquement du chiffrement des systèmes. Au lieu de cela, ils volent d'abord des données sensibles puis menacent de les vendre ou de les publier si la victime refuse de payer, un modèle souvent appelé double extorsion. La mise aux enchères des données volées ajoute une complication supplémentaire : elle ouvre la porte à tout acheteur, pas seulement à la victime d'origine, ce qui peut mettre les informations entre plus de mains qu'une simple fuite ne le ferait.
Pourquoi les gouvernements disent de plus en plus non
Le refus de Berlin s'inscrit dans une tendance plus large parmi les entités du secteur public. Payer des rançons n'offre aucune garantie que les données volées seront réellement supprimées ni que les attaquants ne reviendront pas pour un second paiement. Cela risque également de signaler à d'autres groupes criminels qu'une ville ou une agence donnée est prête à négocier, ce qui pourrait inviter à de futures attaques. Pour un gouvernement d'État, il existe des considérations supplémentaires : les fonds publics utilisés pour payer des entreprises criminelles suscitent un examen minutieux, et cela peut entrer en conflit avec les directives nationales ou régionales qui découragent totalement les paiements de rançon.
Le moment du refus de Berlin, émis avant même que la liste d'enchères ne soit mise en ligne, suggère que les responsables avaient déjà arrêté leur position bien avant que la tentative d'extorsion ne devienne publique. Ce type de préparation, avoir un plan de réponse prêt avant qu'un incident ne s'aggrave, est une approche que les experts en sécurité recommandent depuis longtemps aux organisations de toutes tailles.
Ce que cela signifie pour vous
La plupart des lecteurs ne géreront jamais un réseau gouvernemental, mais l'affaire de Berlin offre tout de même des leçons pratiques. Si un service que vous utilisez, qu'il s'agisse d'une agence municipale, d'un prestataire de soins de santé ou d'une entreprise, subit une attaque par rançongiciel, la réponse de l'organisation reflète souvent ce qui s'est passé ici : un refus de payer, suivi de données volées apparaissant à la vente ou aux enchères. Cela signifie que les lettres de notification, les offres de surveillance du crédit ou les divulgations de violation peuvent arriver bien après le vol réel, parfois des jours ou des semaines plus tard, selon la rapidité du confinement.
Si vous interagissez avec des systèmes gouvernementaux ou institutionnels qui pourraient être affectés par une violation similaire, il vaut la peine de vérifier périodiquement si vos informations sont apparues dans des expositions de données connues, et de traiter tout e-mail ou appel de notification inattendu avec prudence jusqu'à ce que vous puissiez les vérifier par des canaux officiels.
Points clés à retenir
La décision de Berlin de refuser la demande de rançon de Rhysida avant même que le groupe n'ouvre son enchère souligne un changement dans la manière dont les institutions publiques gèrent les tentatives d'extorsion : décider tôt, communiquer clairement et ne pas attendre le prochain mouvement de l'attaquant. Pour les lecteurs ordinaires, cette affaire rappelle que les répercussions d'un rançongiciel se déroulent souvent par étapes, détection, retards de confinement, refus, puis vente de données, et que rester attentif aux notifications de violation liées à toute organisation avec laquelle vous traitez reste l'un des moyens les plus simples de vous protéger. Surveillez les mises à jour officielles des agences de l'État de Berlin si vous avez un lien avec les systèmes concernés, et envisagez de surveiller proactivement vos informations personnelles chaque fois qu'un incident de rançongiciel touche une organisation dont vous dépendez.
