Rhysida s'attaque à Berlin avant les élections et menace de vendre 5,79 téraoctets de données

Trente bitcoins, soit un peu plus de 77 000 dollars au cours du moment, et un compte à rebours de sept jours. C'est le prix fixé par le groupe de ransomware Rhysida pour la vente aux enchères de données qu'il affirme avoir volées au gouvernement du Land de Berlin.

L'exfiltration se serait produite entre le 7 et le 12 août, plusieurs semaines avant que Rhysida ne rende l'attaque publique le 28 août. Ce délai n'a rien d'inhabituel: les groupes de ransomware préfèrent souvent négocier en silence avec la victime avant de médiatiser l'incident, une fois qu'il devient clair que le paiement n'arrivera pas.

Le maire de Berlin Kai Wegner et la sénatrice à l'Intérieur Iris Spranger ont répondu dans une déclaration commune, sans détour: « L'État de Berlin ne se soumettra pas au chantage. » Une position qui suit la doctrine désormais dominante chez les gouvernements occidentaux face aux ransomwares, payer finance directement l'écosystème criminel et n'offre aucune garantie de suppression réelle des données volées.

Le volume annoncé, 5,79 téraoctets, comprendrait 46 500 contrats, des emails, des numéros de téléphone, des mots de passe et des documents classifiés. Le calendrier de l'attaque, à quelques semaines d'un scrutin, a immédiatement fait craindre une tentative d'ingérence électorale. Les autorités berlinoises ont toutefois été catégoriques sur ce point précis: selon la sénatrice Spranger, ni l'infrastructure électorale ni les données liées au scrutin n'ont été touchées.

Rhysida n'est pas un nouveau venu. Actif depuis juin 2023, le groupe revendique près de 280 attaques, majoritairement contre des cibles américaines et européennes, avec un net penchant pour les institutions publiques et les organismes de santé. Sa victime la plus connue reste la British Library, paralysée pendant des mois après une attaque en octobre 2023 dont la bibliothèque britannique ne s'est pleinement remise que très tardivement.

Ce qui distingue le dossier berlinois, c'est moins la technique que le contexte politique. Une administration publique qui refuse ouvertement de payer, tout en subissant une attaque à forte charge symbolique avant une élection, crée un précédent que d'autres villes européennes observeront de près dans les prochains mois, qu'elles soient elles-mêmes ciblées ou non.

L'enchère de sept jours annoncée par Rhysida arrive à échéance début septembre. Si aucun acheteur ne se manifeste, une pratique fréquente chez ce type de groupe consiste alors à publier gratuitement une partie des données, moins pour en tirer un profit que pour maintenir sa réputation de crédibilité auprès de ses futures victimes.

Le choix d'une cible institutionnelle allemande, plutôt qu'une entreprise privée, s'inscrit également dans une tendance observée chez plusieurs groupes de ransomware depuis deux ans: cibler des collectivités locales et des administrations régionales, souvent moins dotées en moyens de cybersécurité que les ministères fédéraux, tout en garantissant une couverture médiatique large du fait de leur caractère public.

D’après The Hacker News.