Berlin refuse de payer Rhysida : 5,79 To de données administratives menacées de fuite

Le groupe de ransomware Rhysida affirme avoir volé 5,79 To de données à l'administration de Berlin et menace de les mettre aux enchères dans les prochains jours. Les autorités berlinoises refusent de payer la rançon de 30 bitcoins réclamée — environ 2 millions d'euros. Au-delà du cas allemand, l'épisode illustre un dilemme que tout DPO du secteur public français peut se retrouver à affronter du jour au lendemain.

Ce qui s'est passé

Le réseau informatique du Sénat de Berlin (l'exécutif de la ville-Land) a été compromis en août 2026, un incident que les autorités ont d'abord qualifié pudiquement d'« incident TIC ». Plusieurs administrations ont dû couper une partie de leurs systèmes le temps d'évaluer l'ampleur de l'intrusion ; l'ensemble des services du Sénat n'a été reconnecté que le 23 août.

Le groupe Rhysida a ensuite revendiqué l'attaque, affirmant détenir 5,79 To de données — environ 1,44 million de fichiers, dont 46 500 contrats, des e-mails, des numéros de téléphone, des mots de passe, ainsi que des documents judiciaires, des plans de gestion de crise et des informations sur des infrastructures critiques. Les pirates réclament 30 bitcoins et menacent de mettre les données aux enchères sous sept jours si la rançon n'est pas versée.

Le maire-gouverneur Kai Wegner et la sénatrice à l'Intérieur Iris Spranger ont publiquement refusé de céder au chantage : « L'État de Berlin ne se laissera pas faire chanter. » La police criminelle du Land, le parquet et les autorités fédérales de sécurité enquêtent conjointement. Point notable pour une administration en pleine campagne électorale : les autorités assurent que les systèmes liés à l'élection régionale du 20 septembre n'ont pas été touchés.

Pourquoi c'est important pour les DPO français

Ce type d'attaque n'a rien d'isolé. Depuis le début de l'année, la France a connu une série de brèches touchant des administrations — la DGFiP, l'ANTS ou encore l'Éducation nationale — qui montrent que le secteur public constitue une cible de choix : volumes de données considérables, systèmes hérités, ressources cyber souvent sous-dimensionnées face à la valeur des données détenues (identité, fiscalité, justice, santé).

Le cas berlinois ajoute une dimension supplémentaire : la présence, parmi les données revendiquées, de documents judiciaires et de plans de gestion de crise. Une fuite de ce type ne relève plus seulement de la protection des données personnelles au sens strict — elle touche à la continuité de service public et à la sécurité nationale. Pour un DPO confronté à une violation de données, cela signifie coordonner l'analyse RGPD (articles 33 et 34) avec les équipes sécurité, juridique et, le cas échéant, les autorités de sécurité nationale — un exercice bien plus complexe qu'une simple notification à la CNIL.

Ce que ça change pour les organisations

Trois enseignements concrets ressortent de cet épisode :

• Ne pas confondre rançon et conformité. Payer une rançon n'éteint jamais l'obligation de notification (article 33 RGPD, délai de 72 heures) ni celle d'information des personnes concernées si le risque est élevé (article 34). Le refus de payer de Berlin ne dispense pas non plus l'administration de ses obligations — au contraire, il augmente la probabilité que les données soient effectivement publiées, ce qui doit être anticipé dans la communication de crise.
• Cartographier ce qui circule vraiment. 46 500 contrats et des plans de gestion de crise dans un même lot de données volées suggèrent une absence de cloisonnement entre systèmes métiers. Une stratégie de défense contre les ransomwares passe autant par la segmentation réseau que par la sauvegarde hors ligne.
• Préparer le scénario « fuite publique ». Avec un compte à rebours d'enchères, l'administration berlinoise doit gérer une crise sur un calendrier imposé par l'attaquant. Un plan de réponse aux incidents doit prévoir ce cas de figure précis : que faire, et que dire, si les données finissent par être publiées malgré le refus de payer.

Ce que Leto pense de cette décision

Le refus public de Berlin de payer est la bonne décision de principe — céder alimente l'économie criminelle sans garantir la suppression des données. Mais ce choix a un coût réel que les organisations doivent assumer en amont, pas le découvrir en pleine crise : si la rançon n'est pas payée, la fuite devient l'issue la plus probable. La vraie question n'est donc pas « faut-il payer ? » mais « sommes-nous prêts à gérer une fuite publique de nos données les plus sensibles ? ». Pour une administration française qui gérerait un scénario comparable, la réponse à cette question doit être écrite avant l'incident, pas pendant.

Sources : Cybernews, DataBreaches.net, communiqué officiel du Sénat de Berlin.