Rhysida détient la carte des failles de l'eau à Berlin

Ce que Rhysida a réellement pris

Rhysida affirme avoir pris 5,79 téraoctets de données sur le réseau administratif de l'État-région de Berlin, répartis sur environ 1,44 million de fichiers. Le groupe de rançongiciel, actif depuis 2023 et présumé opérer depuis la Russie ou l'Europe de l'Est, a publié sa revendication sur un site de fuite le 28 août 2026. Ce même groupe compte déjà la British Library et l'armée chilienne parmi ses victimes précédentes, il ne s'agit donc pas d'un opérateur débutant testant ses méthodes sur une grande cible gouvernementale.

La liste des fichiers comprend des contrats, des courriels, des numéros de téléphone, des mots de passe, du matériel classifié, ainsi que des données de paie et d'infractions administratives touchant chacune plus de 5 000 dossiers du personnel. Rhysida affirme aussi détenir des extractions de bases de données SQL couvrant la période 2020-2026, et 3 226 accords de confidentialité signés. Des données personnelles concernant environ 12 076 personnes seraient également incluses, un chiffre qui déterminera les obligations de notification de violation indépendamment du reste.

Le détail sur le réseau d'eau change le calcul du risque

Dissimulées dans cette liste de fichiers se trouvent des évaluations de vulnérabilité du réseau d'eau de Berlin, et cette seule catégorie pèse plus lourd que le chiffre en téraoctets. Les dossiers du personnel et les données de paie sont le contenu habituel d'une fuite municipale ; une carte documentée des points faibles de l'infrastructure hydrique d'une capitale ne l'est pas. Quiconque détient désormais cette évaluation dispose d'une longueur d'avance pour identifier où une attaque ultérieure contre des infrastructures physiques causerait le plus de dégâts, que l'attaquant soit Rhysida lui-même, un acheteur lors de l'enchère annoncée, ou un acteur extérieur qui ne visite jamais le site de fuite.

Cette distinction se perd lorsqu'une fuite est résumée uniquement par sa taille. Une divulgation de rançongiciel typique entraîne de l'embarras, des coûts de notification, et éventuellement de la fraude par la suite. Une divulgation qui inclut des données de vulnérabilité d'infrastructure produit une liste de cibles. Des médias comme TheHackerNews, qui ont rapporté la fuite, ont traité le détail sur l'eau comme une ligne parmi d'autres ; pour quiconque est responsable d'infrastructures critiques, cela devrait être le titre.

Refuser de payer résout un problème, pas l'autre

Le maire de Berlin Kai Wegner et la sénatrice de l'Intérieur Iris Spranger ont publié une déclaration conjointe selon laquelle l'État-région ne cédera pas au chantage, une position défendable en soi. Rhysida a exigé 30 bitcoins, valant environ 2 millions d'euros au moment de la demande, avec un délai d'environ sept jours avant de mettre les données aux enchères. Payer une rançon finance la prochaine attaque et n'offre aucune garantie contraignante que les copies volées seront supprimées plutôt que revendues discrètement.

Ce que le refus ne fait pas, c'est récupérer les données. Une fois qu'un ensemble de fichiers a été exfiltré et publié sur un site de fuite, payer ou non ne détermine plus que si Rhysida publie l'archive complète ou poursuit son chantage en privé ; les copies déjà réalisées échappent de toute façon au contrôle de Berlin. Les autorités ont indiqué que les systèmes et données de l'élection du 20 septembre ne sont pas concernés, ce qui répond à la question la plus urgente mais ne dit rien de l'accès dont disposaient les attaquants sur le réseau administratif avant la découverte de l'intrusion.

Ce que la NIS2 exige réellement à partir de maintenant

Pour les opérateurs relevant du régime NIS2 de l'UE, une position de non-paiement est un choix politique, pas une réponse de conformité. La NIS2 impose aux entités essentielles et importantes des obligations de gestion des risques, des délais de notification d'incidents et une sécurité de la chaîne d'approvisionnement, et une régie municipale de l'eau entre exactement dans les catégories que la directive vise à protéger, le type de norme vers laquelle le National Cyber Security Centre britannique pousse les opérateurs, même en dehors du régime de l'UE. La question que pose la NIS2 n'est pas de savoir si Berlin a payé la rançon, mais si les données de vulnérabilité désormais détenues par Rhysida auraient dû être accessibles depuis le même réseau que les données de paie et les archives contractuelles.

Les catégories que Rhysida affirme détenir illustrent l'ampleur de l'exposition en un seul incident :

La segmentation entre données administratives et données de technologie opérationnelle ou d'évaluation d'infrastructure critique est exactement le type de contrôle que la NIS2 attend de voir documenté, testé et rapporté, et non simplement présumé. Une organisation capable de démontrer qu'elle a segmenté ces données, même si cette segmentation a échoué, se trouve dans une position différente de celle qui ne les a jamais séparées.

Pourquoi nous faisons cela

Nous faisons cela pour tous ceux qui essaient de suivre ce que la technologie fait à nos vies. Les personnes qui la construisent, et les personnes à qui elle arrive. Le Servola Journal existe pour que ce que nous apprenons appartienne à tous.

Personne ne nous paie pour cela. Pas de publicité, pas de mur payant, gratuit pour tous. Nous croyons simplement que comprendre ce qui nous arrive à tous ne devrait pas dépendre de qui peut se permettre de payer pour cela.

Si cela vous a apporté quelque chose aujourd'hui, dites-nous de continuer. Suivez-nous, laissez un like, ou écrivez un commentaire positif. Nous les lisons tous, et ce sont eux qui nous font continuer.

À lire ensuite: La faille de Beacon échappe à tous les filets de sécurité  |  Une IA a mené seule cette attaque par rançongiciel