Ce qui s'est passé : la fuite de 5,26 To de Rhysida

Le groupe de rançongiciels Rhysida a publié 5,26 téraoctets de données volées au gouvernement de l'État de Berlin sur le dark web. Cette fuite suit un schéma familier pour le groupe : infiltrer un réseau, exfiltrer de grands volumes de fichiers sensibles, exiger un paiement et tout rendre public lorsque la cible refuse de payer. Cette dernière divulgation s'inscrit dans une saga en cours que vpn.social a suivie de près, notamment la publication antérieure par Rhysida de près de six téraoctets de données berlinoises volées et la décision du groupe de diffuser les données berlinoises après que la ville a refusé une demande de rançon de 2 millions d'euros.

Les fuites de données gouvernementales de cette ampleur sont rarement des événements isolés. Elles ont tendance à se dérouler par étapes, avec des menaces initiales, des délais, des publications partielles et finalement une publication complète une fois les négociations rompues. Le cas de Berlin semble suivre exactement cette trajectoire, aboutissant à cette publication de 5,26 To.

Qui est Rhysida et pourquoi cible-t-il les institutions publiques

Rhysida est actif depuis 2023 et s'est bâti une réputation en ciblant deux secteurs en particulier : les organisations de santé et les administrations publiques. Ses victimes connues incluent le Centro Hospitalar Universitário de Lisboa, un important réseau hospitalier au Portugal, et même le Vatican. Ce schéma n'est pas fortuit. Les hôpitaux, les gouvernements municipaux et les institutions religieuses fonctionnent souvent sur des systèmes informatiques obsolètes, opèrent avec des budgets serrés pour la cybersécurité et détiennent d'énormes volumes de données personnelles et administratives sensibles, exactement le genre de combinaison qui en fait des cibles attractives pour un groupe à la recherche de données à haute valeur avec des défenses comparativement plus faibles.

Les victimes du secteur public font également face à un dilemme unique lorsqu'elles sont touchées par un rançongiciel. Payer une rançon à un groupe criminel soulève des questions juridiques et éthiques, et rien ne garantit que le paiement empêche la fuite ou la revente des données. Refuser de payer, en revanche, signifie que les données deviennent publiques, exposant potentiellement les citoyens, les employés et les opérations gouvernementales à un préjudice durable. Le gouvernement de Berlin aurait précédemment refusé une demande de rançon faite en Bitcoin avant une échéance fixée, une décision qui a finalement conduit à la diffusion des données plutôt qu'à leur vente ou à leur suppression.

Le mode opératoire de la double extorsion

Rhysida opère en utilisant une tactique connue sous le nom de double extorsion. Plutôt que de simplement chiffrer les fichiers et d'exiger un paiement pour une clé de déchiffrement, le groupe vole d'abord une copie des données avant de verrouiller les systèmes. Cela leur donne deux formes de levier : les victimes sont poussées à payer à la fois pour retrouver l'accès à leurs propres systèmes et pour empêcher la publication ou la vente des données volées. Si une rançon n'est pas payée, le groupe passe à l'acte en rendant les données publiques, comme cela s'est produit à plusieurs reprises tout au long de l'affaire berlinoise, notamment lors d'une publication antérieure décrite comme des données du gouvernement de Berlin divulguées après un refus de rançon.

La double extorsion est devenue de plus en plus courante parmi les groupes de rançongiciels précisément parce qu'elle fonctionne. Même les organisations dotées de solides systèmes de sauvegarde capables de restaurer les fichiers chiffrés sans payer font toujours face à la menace d'une exposition publique des données, ce qui maintient la pression indépendamment de la robustesse du plan de reprise après sinistre de la victime.

Ce que cela signifie pour vous

Si vous vivez à Berlin, travaillez pour l'administration de la ville ou avez des interactions avec les systèmes gouvernementaux concernés, cette fuite mérite votre attention. Les fuites de données d'administration publique comme celle-ci incluent souvent des dossiers personnels liés aux employés et aux résidents, pas seulement des fichiers bureaucratiques internes. Même si vous n'avez pas été directement notifié, il est raisonnable de supposer que des informations sensibles liées aux services publics pourraient circuler sur le dark web à la suite d'une violation de cette ampleur.

Plus largement, cet incident rappelle que les groupes de rançongiciels considèrent de plus en plus les institutions publiques, et pas seulement les entreprises, comme des cibles de premier choix. Les systèmes de santé et les organismes gouvernementaux détiennent des données difficiles à remplacer et impossibles à « dé-divulguer » une fois qu'elles sont sorties. Cette réalité met la pression sur les agences publiques pour qu'elles investissent dans des défenses de cybersécurité plus solides, mais cela signifie aussi que les individus doivent rester vigilants face aux signes que leurs propres données ont été exposées sans qu'ils en soient responsables.

Agir après une fuite de données gouvernementales

Si vous pensez que vos informations ont pu faire partie de cette violation ou d'une violation similaire, il existe des mesures pratiques à prendre. Surveillez vos comptes et tout numéro d'identification émis par le gouvernement pour détecter des signes d'utilisation abusive. Méfiez-vous des tentatives d'hameçonnage qui font référence à vos données personnelles, car les données divulguées sont souvent réutilisées pour des arnaques ultérieures. Envisagez d'utiliser des services de surveillance d'identité s'ils sont disponibles pour vous, et restez informé grâce aux communications officielles du gouvernement concernant l'ampleur de la violation et tout soutien offert aux résidents affectés.

La saga du rançongiciel Rhysida à Berlin illustre comment un seul refus de rançon peut se transformer en un événement massif d'exposition de données en plusieurs étapes. À mesure que ces incidents continuent de se dérouler, rester informé de la façon dont vos données peuvent être affectées demeure l'un des moyens les plus efficaces de vous protéger par la suite.