Le Land de Berlin confirme qu’un groupe a copié des données de son réseau administratif, puis les a publiées le 4 septembre 2026 après une tentative d’extorsion refusée par la ville. Les systèmes des deux administrations du Sénat concernées avaient été isolés le 14 août. Au 29 septembre, Berlin indique que l’analyse des données publiées et l’identification des personnes touchées se poursuivent.
Le sujet exige une lecture à plusieurs niveaux. L’incident sur le Landesnetz, la sortie de données et l’extorsion sont établis par les autorités. L’identité de l’attaquant, le volume exact et la liste des documents attribués au groupe restent, eux, à distinguer des affirmations publiées par les criminels ou rapportées par la presse.
Ce qui est confirmé fin août
Le communiqué berlinois du 28 août confirme qu’une analyse forensique a établi de nouveaux flux de données dans le périmètre de la Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt. Les autorités situent ces sorties entre le 7 et le 12 août, avant la séparation du réseau des administrations concernées le 14 août. Elles précisent alors que des données personnelles ou d’autres informations non publiques peuvent être touchées, sans en publier le détail.
Le même communiqué confirme la position politique sur l’extorsion : Berlin ne paiera pas. À cette date, le Land ne donne ni le montant de la demande ni l’identité des responsables. La mention de Rhysida vient de la revendication du groupe et de comptes rendus de presse ; elle ne doit pas être reformulée comme une attribution judiciaire définitive.
Deux administrations, des services perturbés
Les investigations portent sur deux administrations du Sénat : celle chargée de la mobilité, du transport, du climat et de l’environnement, et celle chargée du développement urbain, de la construction et du logement. Leur déconnexion a eu des effets concrets, mais localisés. Le Bezirksamt Friedrichshain-Kreuzberg signalait par exemple que des demandes d’arrêtés de circulation et d’occupations techniques liées aux chantiers ne pouvaient plus être consultées ni traitées lorsque les procédures dépendaient de la première administration.
Cette précision compte pour éviter deux excès. L’incident n’est pas seulement une histoire de fichiers prétendument volés : une dépendance technique peut ralentir une démarche publique. Mais une perturbation dans certains processus ne signifie pas que l’ensemble des services berlinois ou l’environnement électoral a été compromis. La continuité doit être mesurée procédure par procédure, avec des canaux de secours clairement annoncés.
Ce que Rhysida affirme, et ce que cela ne prouve pas
Dans son point du 3 septembre, Berlin indique que le groupe Rhysida revendique l’attaque et prétend détenir 5,7 téraoctets de données. Les auteurs présumés proposaient ces données dans une enchère avec un minimum de 30 bitcoins, soit environ deux millions d’euros selon le communiqué. Berlin signalait alors que la publication pouvait intervenir le 4 septembre.
Les 5,7 téraoctets annoncés le 3 septembre par Berlin sont le volume revendiqué par Rhysida, pas un bilan officiel des personnes ou documents concernés. Tagesschau rapporte qu’après publication, l’archive comptait environ 1,44 million de fichiers et 5,8 téraoctets : un nombre de fichiers ne correspond pas à un nombre de victimes. Au 29 septembre, le Land indique que les données sont principalement des fichiers non structurés issus de répertoires partagés et personnels, et non de bases d’applications métier précises. Des données de salariés, de citoyens et d’entreprises peuvent néanmoins y figurer.
Après la publication, qualifier avant d’alarmer
Le portail officiel de Berlin sur l’incident, actualisé le 29 septembre, précise que l’analyse porte sur les systèmes et les fichiers publiés et qu’une notification sera adressée aux personnes ou groupes concernés dès que les éléments le permettront. Pour une question liée à la SenStadt, l’administration indique l’adresse Datenschutzvorfall@SenStadt.berlin.de ; pour la SenMVKU, Datenschutzvorfall@senmvku.berlin.de. La SenMVKU détaille aussi sur sa page de notification plusieurs catégories déjà identifiées, dont les personnes inscrites à l’opération STADTRADELN entre 2023 et 2026. Cette information ne signifie pas que toutes les personnes ayant un lien avec Berlin sont concernées : le périmètre dépend de l’administration et des fichiers en cours d’analyse. Pour les autres questions liées à l’attaque, Berlin indique l’adresse Cyberangriff@senatskanzlei.berlin.de sur son portail.
La méthode protège aussi les services publics. Les équipes peuvent maintenir les procédures essentielles sur des systèmes isolés, conserver les preuves, révoquer les accès réellement concernés et séparer l’analyse des données de la remise en production. Berlin poursuit ses vérifications ; tant que l’analyse n’est pas terminée, l’absence d’information sur une personne précise ne permet ni de confirmer ni d’exclure qu’elle soit concernée.
Les bons réflexes pour agents, citoyens et entreprises
Les personnes en relation avec les deux administrations doivent se méfier des messages qui reprennent un dossier, une adresse, une procédure ou un échange réel pour demander un code, un paiement ou une nouvelle pièce. Ouvrez le site ou le numéro de l’administration depuis une source connue. Ne cherchez pas les fichiers dans le Darknet et ne les partagez pas : leur consultation ajoute un risque juridique et opérationnel sans aider à déterminer les personnes réellement concernées. Pour vérifier les dernières consignes, consultez le portail officiel de Berlin sur l’incident ; les personnes relevant de la SenMVKU peuvent aussi lire sa notification sur les catégories concernées.
Si une donnée personnelle est publiée ou utilisée pour une fraude, Berlin recommande de déposer plainte auprès de la police, notamment via l’Internetwache. Les agents doivent suivre les instructions de leur administration, changer tout secret réutilisé sur un autre service et signaler les demandes inhabituelles. Les entreprises qui échangent avec les services touchés doivent vérifier les changements de coordonnées ou de paiement par un second canal et revoir les comptes de leurs collaborateurs autorisés.
Le lien avec Soclyde
Soclyde ne protège pas le Landesnetz de Berlin, ne qualifie pas les fichiers publiés et ne remplace ni l’enquête ni la continuité d’activité des administrations. Son rôle est plus ciblé : conserver les accès dans un coffre chiffré et aider à utiliser un secret distinct pour chaque service. Cela ne révèle pas si une personne figure dans les fichiers volés et ne remplace pas les notifications des autorités.
Cette séparation limite l’effet domino. Elle ne rend pas une donnée administrative non exposée et ne remplace pas la MFA, les sauvegardes, la segmentation réseau ou la réponse à incident. Elle évite simplement qu’un même mot de passe transforme une fuite incertaine en accès confirmé à d’autres comptes.
À retenir
Berlin confirme que les données du réseau administratif ont été publiées, mais l’analyse de leur contenu et l’identification des personnes concernées se poursuivent. Les volumes rapportés décrivent des fichiers, pas un nombre de victimes, et l’attribution à Rhysida reste liée à la revendication du groupe. Consultez le portail officiel de Berlin et suivez les notifications de l’administration compétente plutôt que de rechercher les fichiers publiés.
Pour préparer cette rotation sans disperser les mots de passe, consultez notre guide du générateur de mots de passe sécurisé ou contactez Soclyde.
Pour organiser ces accès partagés avec des règles de transmission et de révocation, consultez aussi le guide de partage sécurisé des mots de passe en équipe.
