Les autorités berlinoises évaluent une collecte massive de données gouvernementales après que le groupe de ransomware Rhysida a publié environ 1,44 million de fichiers volés sur le dark web.
La publication a suivi le refus de Berlin de répondre à la demande de rançon des assaillants. Rhysida avait tenté de mettre aux enchères environ 5,8 téraoctets d’informations volées pour un prix minimum de 30 Bitcoins, d’une valeur d’environ 2 millions d’euros. Après l’expiration de son délai le 4 septembre, le groupe a rendu les fichiers accessibles au public via son site de fuite sur le dark web.
L’intrusion a touché les départements du Sénat berlinois responsables du développement urbain et du logement, ainsi que de la mobilité, des transports, de la protection climatique et de l’environnement. On pense que les assaillants ont pénétré entre le 7 et le 12 août. Les autorités ont découvert l’incident le 14 août.
Les responsables examinent désormais les documents divulgués afin de déterminer si leur publication crée des risques pour des individus, des agences gouvernementales ou des infrastructures critiques. Berlin a mis en place des équipes supplémentaires pour coordonner l’analyse et intervenir lorsque des informations particulièrement sensibles sont identifiées.
Les premiers examens indiquent que la collection dépasse largement les documents administratifs courants. Les rapports décrivent des dossiers impliquant des employés gouvernementaux, des questions de personnel, des plans d’urgence et d’autres dossiers internes.
Des éléments plus préoccupants concerneraient apparemment des infrastructures critiques et des installations sensibles. Des documents liés à l’approvisionnement en eau de Berlin, aux centrales électriques, aux postes électriques, aux dépôts de carburant et aux systèmes d’alimentation d’urgence ont été identifiés. Des informations concernant les prisons, les entreprises de défense et d’autres organisations sensibles à la sécurité auraient également été indiquées dans la fuite.
Des centaines de documents concernant une extension de la Chancellerie fédérale allemande ont été retrouvés parmi les documents volés, y compris des plans, des évaluations et des déclarations des autorités. La sensibilité complète de ces documents est encore en cours d’évaluation.
Les informations personnelles posent un autre problème potentiel. Berlin avait déjà averti que les documents volés pourraient contenir des données appartenant à des employés gouvernementaux, des résidents et des entreprises. Les autorités ont l’intention de contacter les individus identifiables en fonction du niveau de risque créé par l’exposition.
L’Office fédéral allemand de la sécurité de l’information a également averti que les informations obtenues lors de la violation pourraient soutenir des attaques de phishing ciblées. Des documents internes détaillés peuvent potentiellement rendre les communications trompeuses plus convaincantes en fournissant aux attaquants des informations sur les organisations et les individus.
Berlin affirme qu’il n’existe actuellement aucune preuve que des assaillants restent à l’intérieur du réseau d’État, bien que les enquêtes médico-légales se poursuivent. Les autorités enquêtent également sur la possibilité que d’autres informations aient pu être supprimées.
L’incident survient peu avant l’élection d’État du 20 septembre à Berlin. Les responsables électoraux ont déclaré que, d’après les informations actuellement disponibles, les systèmes impliqués dans la préparation et la conduite de l’élection n’ont pas été affectés.
Rhysida est considéré principalement comme motivé financièrement, et les autorités allemandes n’ont pas publiquement identifié de motif politique derrière l’attaque de Berlin. La priorité immédiate est désormais de déterminer exactement ce que contient les près de six téraoctets de données publiées et si toute information exposée nécessite des mesures de sécurité supplémentaires.