Le refus de rançon de Berlin mène à une fuite massive de données

Le groupe de ransomware Rhysida a donné suite à sa menace contre le gouvernement de Berlin en publiant près de six téraoctets de fichiers volés sur le dark web. Cette fuite marque le dernier chapitre d'une affaire qui se déroule depuis des semaines et illustre clairement comment les campagnes d'extorsion par ransomware se déroulent généralement lorsqu'une victime refuse de payer.

Selon les rapports, les attaquants ont suivi un scénario familier : infiltrer un réseau, exfiltrer de grands volumes de données, menacer de les publier, exiger un paiement et fixer un compte à rebours pour faire pression sur la victime afin qu'elle cède. Dans ce cas, Rhysida aurait exigé 30 bitcoins. Comme vpn.social l'avait précédemment couvert lorsque Berlin a refusé la rançon de 2,3 M$ de Rhysida après le vol de 5,79 To a été divulgué pour la première fois, les responsables municipaux ont refusé de négocier, préparant ainsi le terrain pour la publication éventuelle des données.

De la menace à la publication

Le calendrier ici mérite d'être compris, car il reflète un schéma observé à maintes reprises avec les groupes de ransomware qui recourent à des tactiques de « double extorsion » : voler les données d'abord, puis chiffrer ou menacer de les divulguer comme levier distinct. Lorsque Rhysida a revendiqué pour la première fois le vol de 5 To de données de Berlin, le gouvernement municipal a déclaré publiquement qu'il ne paierait pas. Ce refus semble avoir déclenché le compte à rebours qui s'est finalement soldé par la publication des fichiers par le groupe.

L'ampleur de la fuite, décrite comme près de six téraoctets, suggère que le matériel volé va bien au-delà d'un ensemble restreint de dossiers. Des fichiers gouvernementaux de ce volume incluent souvent un mélange de documents administratifs, de communications internes et de données personnelles appartenant à des employés ou à des résidents. Une fois que des données de ce type sont publiées sur le dark web, elles deviennent accessibles à quiconque veut bien les chercher, y compris à d'autres acteurs criminels qui peuvent les utiliser pour l'usurpation d'identité, des campagnes de hameçonnage ou des attaques ciblées supplémentaires contre des personnes nommées dans les fichiers.

Ce n'est pas non plus un incident isolé pour Rhysida. Le groupe a revendiqué des attaques contre Berlin aux côtés d'autres cibles comme Alumax, et les équipes de ransomware plus largement ont maintenu un rythme soutenu d'attaques contre des cibles gouvernementales et d'infrastructures. Tout aussi notable, l'Allemagne a signalé qu'une part croissante de ses cyberattaques remonte désormais à des acteurs liés à des États plutôt qu'à des criminels purement motivés par l'argent, une tendance documentée lorsque des espions étrangers ont été identifiés comme étant à l'origine de 37 % des cyberattaques en Allemagne. Que Rhysida ait ou non un lien avec un État, le paysage de menaces plus large auquel sont confrontées les institutions publiques allemandes s'intensifie clairement.

Pourquoi refuser de payer a tout de même des conséquences

La décision de Berlin de ne pas payer la rançon reflète les recommandations standard des agences de cybersécurité et des forces de l'ordre, qui déconseillent généralement les paiements de rançon car ils financent des activités criminelles supplémentaires et n'offrent aucune garantie que les données volées seront réellement supprimées. Mais ces recommandations comportent un compromis difficile : refuser de payer signifie souvent que les données seront publiées quoi qu'il arrive.

C'est exactement ce qui semble s'être produit ici. La fuite de données de Rhysida souligne qu'une fois les informations exfiltrées, l'organisation victime en perd presque totalement le contrôle. Paiement ou non, l'exposition sous-jacente s'est déjà produite au moment où les attaquants ont copié les fichiers des systèmes de Berlin. La fuite publique n'est que l'étape finale, la plus visible, d'une violation qui a commencé bien plus tôt.

Ce que cela signifie pour vous

Si vous êtes un résident de Berlin ou un employé public, ou si vous interagissez avec les services municipaux des départements concernés, il y a de fortes chances que certaines de vos informations personnelles aient été incluses dans les fichiers volés. L'hypothèse la plus sûre est que toute donnée détenue par un bureau gouvernemental affecté doit être traitée comme potentiellement exposée.

Les mesures pratiques incluent la surveillance de vos comptes financiers et de vos rapports de crédit pour détecter toute activité inhabituelle, la vigilance face aux e-mails ou appels de hameçonnage qui font référence à des détails personnels susceptibles de provenir d'un dossier gouvernemental divulgué, et le changement de mots de passe pour tout compte lié aux services gouvernementaux si des identifiants faisaient partie du matériel exposé. L'authentification multifacteur reste l'une des défenses les plus efficaces contre les tentatives de prise de contrôle de comptes qui suivent des fuites de données massives comme celle-ci.

Points clés à retenir

La fuite de ransomware de Rhysida contre le gouvernement de Berlin rappelle que l'extorsion par ransomware ne se termine pas lorsqu'une rançon reste impayée — elle se déplace souvent vers une exposition publique. Pour les résidents et les employés liés aux systèmes affectés, la vigilance contre l'usurpation d'identité et le hameçonnage est la défense la plus immédiate. Pour les institutions publiques plus largement, cet incident s'ajoute à un corpus croissant de preuves que les réseaux gouvernementaux restent des cibles de grande valeur, et que les plans de rétablissement doivent tenir compte de la réalité selon laquelle les données volées peuvent finir par être publiques, quelle que soit la décision prise concernant le paiement.