Berlin refuse la rançon de 2,3 M$ à Rhysida après le vol de 5,79 To

Ce qui est arrivé aux ministères du gouvernement de Berlin

En août, des pirates ont pénétré dans deux ministères du gouvernement de Berlin, la ville-État d'Allemagne, et sont repartis avec une quantité stupéfiante de documents sensibles. Le groupe de ransomware Rhysida affirme avoir volé 5,79 téraoctets de données, notamment des contrats, des courriels internes, des mots de passe et des informations classifiées. Le groupe a ensuite mis les fichiers volés aux enchères, avec une mise à prix d'environ 2,3 millions de dollars.

Les responsables berlinois ont confirmé à la fois le vol et la demande de rançon, mais la ville-État a déclaré publiquement qu'elle ne paierait pas. Cette décision place Berlin dans le même camp que la plupart des recommandations gouvernementales en matière de cybersécurité, y compris la position de longue date du FBI selon laquelle il ne soutient pas le paiement des rançons, car cela ne garantit pas que les données seront réellement restituées ou supprimées.

Refuser de payer est souvent la bonne décision d'un point de vue politique. Cela retire aux attaquants l'incitation financière à continuer de cibler les institutions publiques et évite de financer d'autres opérations criminelles. Mais cela signifie aussi que les données volées ne reviendront probablement pas, et qu'elles sont désormais entre les mains de criminels qui ont toutes les raisons de les vendre, de les divulguer ou de les utiliser eux-mêmes.

Pourquoi le butin de 5,79 To de Rhysida est plus dangereux qu'une fuite de données typique

Toutes les fuites de données ne présentent pas le même risque, et l'ampleur et la composition de celle-ci sont ce qui la rend remarquable. Une fuite de données gouvernementale liée à un ransomware impliquant des contrats, des mots de passe et des fichiers classifiés n'est pas seulement un désagrément pour les ministères concernés. C'est une boîte à outils pour des attaques ultérieures.

Les contrats et les courriels internes peuvent révéler les relations avec les fournisseurs, les processus d'approvisionnement et la structure organisationnelle, ce qui aide les attaquants à élaborer des campagnes de hameçonnage convaincantes par la suite. Les informations classifiées, selon leur degré de sensibilité, peuvent compromettre des enquêtes en cours, des relations diplomatiques ou des opérations de sécurité. Et les mots de passe, même hachés ou chiffrés, sont souvent cassables ou réutilisables sur plusieurs systèmes, surtout lorsque les employés recyclent leurs identifiants entre leurs comptes professionnels et personnels.

C'est la partie qui a tendance à se perdre dans les gros titres axés sur les montants des rançons. Une seule fuite de cette ampleur ne reste pas confinée à une seule institution. Elle devient une matière première que d'autres groupes criminels peuvent acheter, exploiter et réutiliser pendant des mois ou des années.

Comment les identifiants et contrats volés alimentent des attaques en aval contre les citoyens

C'est ici que l'incident de Berlin importe au-delà du personnel informatique du gouvernement allemand. Les mots de passe volés et les documents internes restent rarement confinés à leur contexte d'origine. Les attaquants utilisent les identifiants divulgués pour tenter des usurpations de compte sur des services sans rapport, en pariant sur le fait que les gens réutilisent leurs mots de passe entre leurs courriels, leurs services bancaires et leurs portails gouvernementaux. Les détails des contrats et les organigrammes sont intégrés à des scripts d'ingénierie sociale visant les employés, les sous-traitants, ou même les citoyens qui interagissent avec les services gouvernementaux.

Ce risque en cascade est précisément la raison pour laquelle les chercheurs en sécurité prêtent une attention accrue à la manière dont les identifiants et les sessions compromis sont exploités une fois qu'ils sont diffusés. Une divulgation récente détaillant des failles zero-click dans Claude et ChatGPT Atlas a montré comment les attaquants peuvent détourner des sessions de navigateur IA actives sans aucune interaction de l'utilisateur. Combinez ce type de technique avec un trésor de mots de passe volés et de correspondances internes, et vous obtenez une surface d'attaque beaucoup plus large que ce que la fuite initiale suggérait. Les identifiants volés à une institution peuvent être testés contre des dizaines de services sans rapport, et les techniques de détournement de session signifient que même les protections multifacteurs n'arrêtent pas toujours les attaquants déterminés.

Ce que les individus et les organisations peuvent faire pour limiter leur exposition

Vous n'avez pas besoin de travailler pour un ministère gouvernemental pour être affecté par des fuites comme celle-ci. Les employés, les sous-traitants et les citoyens dont les informations sont passées par les systèmes touchés sont tous potentiellement exposés, et les défenses pratiques sont les mêmes que celles recommandées par les professionnels de la sécurité après chaque grande fuite de données gouvernementale liée à un ransomware.

Commencez par l'hygiène des identifiants. Utilisez un gestionnaire de mots de passe pour générer des mots de passe uniques et complexes pour chaque compte, afin qu'un mot de passe divulgué lors d'une fuite ne puisse pas être réutilisé pour en déverrouiller un autre. Activez l'authentification multifacteur partout où elle est proposée et traitez toute invite de connexion inattendue ou tout courriel de réinitialisation de mot de passe avec suspicion.

Si vous interagissez avec des réseaux liés au gouvernement, que ce soit via le Wi-Fi public d'un bâtiment municipal ou un réseau de bureau partagé, l'utilisation d'un VPN ajoute une couche de chiffrement qui rend plus difficile l'interception de votre trafic par quiconque espionne ce réseau. Cela n'arrêtera pas une fuite à la source, mais cela réduit votre exposition pendant que vous êtes connecté.

Enfin, inscrivez-vous à des services de surveillance des fuites qui vous alertent lorsque votre adresse courriel ou vos identifiants apparaissent dans des fuites de données divulguées. Compte tenu de l'ampleur de ce que Rhysida prétend avoir volé, la surveillance est une précaution raisonnable même si vous n'avez aucun lien direct avec le gouvernement de Berlin.

Ce que cela signifie pour vous

L'incident de Berlin rappelle qu'une fuite de données gouvernementale liée à un ransomware reste rarement confinée à l'institution touchée. Les mots de passe, contrats et communications internes volés se propagent vers l'extérieur, alimentant des campagnes de hameçonnage, des attaques par bourrage d'identifiants et des tentatives de détournement de session qui ciblent des citoyens et des entreprises ordinaires sans lien direct avec la fuite initiale.

Le refus de Berlin de payer la rançon est une position défendable, mais cela n'annule pas l'exposition. La réponse pratique pour le reste d'entre nous est la même, quelle que soit l'origine de la fuite : mots de passe uniques, authentification multifacteur, habitudes réseau prudentes et surveillance régulière des fuites. Ces mesures ne préviendront pas toutes les attaques, mais elles réduisent considérablement les dommages qu'une fuite en aval peut causer à vos comptes et à votre identité.

Prenez quelques minutes cette semaine pour vérifier si certains de vos comptes partagent encore des mots de passe, et mettez à jour ceux qui le font. C'est une petite étape, mais c'est exactement le genre d'habitude qui limite jusqu'où une fuite comme celle de Berlin peut s'étendre dans votre vie numérique.