Le Land de Berlin a confirmé le 28 août 2026 qu’il faisait l’objet d’une tentative d’extorsion après un incident sur son réseau informatique régional. Cette confirmation est intervenue après la revendication d’une attaque par le groupe Rhysida, qui affirmait détenir des données volées. Berlin a refusé de payer et a maintenu les investigations avec les autorités de sécurité.
Le sujet exige une lecture à plusieurs niveaux. L’incident sur le Landesnetz, la sortie de données et l’extorsion sont établis par les autorités. L’identité de l’attaquant, le volume exact et la liste des documents attribués au groupe restent, eux, à distinguer des affirmations publiées par les criminels ou rapportées par la presse.
Ce qui est confirmé fin août
Le communiqué berlinois du 28 août confirme qu’une analyse forensique a établi de nouveaux flux de données dans le périmètre de la Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt. Les autorités situent ces sorties entre le 7 et le 12 août, avant la séparation du réseau des administrations concernées le 14 août. Elles précisent alors que des données personnelles ou d’autres informations non publiques peuvent être touchées, sans en publier le détail.
Le même communiqué confirme la position politique sur l’extorsion : Berlin ne paiera pas. À cette date, le Land ne donne ni le montant de la demande ni l’identité des responsables. La mention de Rhysida vient de la revendication du groupe et de comptes rendus de presse ; elle ne doit pas être reformulée comme une attribution judiciaire définitive.
Deux administrations, des services perturbés
Les investigations portent sur deux administrations du Sénat : celle chargée de la mobilité, du transport, du climat et de l’environnement, et celle chargée du développement urbain, de la construction et du logement. Leur déconnexion a eu des effets concrets, mais localisés. Le Bezirksamt Friedrichshain-Kreuzberg signalait par exemple que des demandes d’arrêtés de circulation et d’occupations techniques liées aux chantiers ne pouvaient plus être consultées ni traitées lorsque les procédures dépendaient de la première administration.
Cette précision compte pour éviter deux excès. L’incident n’est pas seulement une histoire de fichiers prétendument volés : une dépendance technique peut ralentir une démarche publique. Mais une perturbation dans certains processus ne signifie pas que l’ensemble des services berlinois ou l’environnement électoral a été compromis. La continuité doit être mesurée procédure par procédure, avec des canaux de secours clairement annoncés.
Ce que Rhysida affirme, et ce que cela ne prouve pas
Dans son point du 3 septembre, Berlin indique que le groupe Rhysida revendique l’attaque et prétend détenir 5,7 téraoctets de données. Les auteurs présumés proposaient ces données dans une enchère avec un minimum de 30 bitcoins, soit environ deux millions d’euros selon le communiqué. Berlin signalait alors que la publication pouvait intervenir le 4 septembre.
Ces chiffres décrivent une revendication et une demande d’extorsion ; ils ne décrivent pas automatiquement le nombre de personnes touchées, la nature des fichiers ni leur exploitabilité. Tagesschau a ensuite évoqué un ensemble d’environ 1,44 million de fichiers et 5,8 téraoctets, ainsi que des informations attribuées au Chaos Computer Club et à d’autres médias. Ces éléments éclairent l’enjeu, mais le propre point de Berlin reste que les analyses forensiques et la qualification des données se poursuivent.
Après la publication, qualifier avant d’alarmer
Le 4 septembre, Berlin a indiqué que les données volées avaient été publiées et que des informaticiens mandatés par le Land les examinaient. Les administrations doivent d’abord déterminer quels ensembles sont authentiques, quelles personnes ou entreprises peuvent être identifiées et quels accès ou processus doivent être sécurisés. Une liste de fichiers, une capture ou un total annoncé par un groupe ne suffit pas à conclure qu’un compte, une infrastructure ou une procédure donnée est exposé.
La méthode protège aussi les services publics. Les équipes peuvent maintenir les procédures essentielles sur des systèmes isolés, conserver les preuves, révoquer les accès réellement concernés et séparer l’analyse des données de la remise en production. Berlin indique qu’il n’existe pas, à ce stade, d’élément montrant que le Landesnetz est toujours infiltré ; cela signifie que l’enquête continue, pas que tout risque est déjà écarté.
Les bons réflexes pour agents, citoyens et entreprises
Les personnes en relation avec les deux administrations doivent se méfier des messages qui reprennent un dossier, une adresse, une procédure ou un échange réel pour demander un code, un paiement ou une nouvelle pièce. Ouvrez le site ou le numéro de l’administration depuis une source connue. Ne cherchez pas les fichiers dans le Darknet et ne les partagez pas : leur consultation ajoute un risque juridique et opérationnel sans aider à déterminer les personnes réellement concernées.
Si une donnée personnelle est publiée ou utilisée pour une fraude, Berlin recommande de déposer plainte auprès de la police, notamment via l’Internetwache. Les agents doivent suivre les instructions de leur administration, changer tout secret réutilisé sur un autre service et signaler les demandes inhabituelles. Les entreprises qui échangent avec les services touchés doivent vérifier les changements de coordonnées ou de paiement par un second canal et revoir les comptes de leurs collaborateurs autorisés.
Le lien avec Soclyde
Soclyde ne protège pas le Landesnetz de Berlin, ne qualifie pas les fichiers publiés et ne remplace ni l’enquête ni la continuité d’activité des administrations. Son utilité est plus ciblée : aider une équipe ou un indépendant à générer un secret distinct pour chaque service, à le conserver dans un coffre chiffré et à retrouver les accès à renouveler lorsqu’un environnement partenaire est touché.
Cette séparation limite l’effet domino. Elle ne rend pas une donnée administrative non exposée et ne remplace pas la MFA, les sauvegardes, la segmentation réseau ou la réponse à incident. Elle évite simplement qu’un même mot de passe transforme une fuite incertaine en accès confirmé à d’autres comptes.
À retenir
Berlin a confirmé une tentative d’extorsion et une sortie de données liée à deux administrations du Sénat. Rhysida, les volumes annoncés et les types de documents doivent rester présentés comme des revendications ou des éléments en cours de vérification tant que l’analyse officielle n’a pas établi le périmètre. La priorité est de maintenir les démarches essentielles, d’identifier les personnes réellement concernées et de couper les réutilisations de secrets.
Pour préparer cette rotation sans disperser les mots de passe, consultez notre guide du générateur de mots de passe sécurisé ou contactez Soclyde.
