Berlin a refusé de verser une rançon en Bitcoin après une cyberattaque contre son administration. Le groupe Rhysida réclamait 30 BTC, soit environ 2 millions d’euros et 2,4 millions de dollars au cours récent du bitcoin. Faute de paiement avant l’expiration de l’ultimatum le 4 septembre, les pirates affirment avoir publié 5,7 téraoctets de données sur le dark web. L’affaire illustre un paradoxe persistant. Bitcoin facilite les paiements internationaux, mais cette même caractéristique continue d’en faire un moyen de paiement privilégié dans certaines opérations d’extorsion.
Une rançon en Bitcoin de 30 BTC pour les données de Berlin
La rançon en Bitcoin réclamée par Rhysida concernait des données dérobées à deux administrations du Land de Berlin. L’une gère notamment le développement urbain et le logement. L’autre s’occupe de la mobilité, des transports et de l’environnement.
Les premières extractions auraient eu lieu entre le 7 et le 12 août. L’attaque est devenue publique le 14 août, lorsque les autorités ont déconnecté les services concernés du réseau administratif pour limiter les dégâts. Certaines prestations, notamment liées au logement, ont alors été perturbées.
Rhysida affirme avoir récupéré environ 5,7 téraoctets de données. Les informations potentiellement compromises concernent aussi bien des employés de l’administration que des habitants et des entreprises ayant échangé avec les services publics berlinois. Les autorités n’ont toutefois pas confirmé indépendamment l’intégralité du volume et du contenu revendiqués par les pirates.
Le groupe a ensuite mis ces données aux enchères sur le dark web. Le prix de départ était fixé à 30 bitcoins.
Avec un BTC proche de 80 000 dollars, cette somme représentait environ 2,4 millions de dollars. Les autorités berlinoises l’évaluaient à près de 2 millions d’euros.
Berlin préfère risquer la fuite plutôt que financer les pirates
Les autorités n’ont pas tenté de négocier publiquement le montant. Florian Hauer, responsable du numérique du Land, a affirmé que Berlin ne céderait pas au chantage.
Cette décision implique pourtant un coût potentiel important.
Après l’expiration de l’ultimatum vendredi 4 septembre, Rhysida a affirmé avoir rendu les données accessibles. Certaines sources rapportent leur publication sur le dark web, tandis que d’autres indiquaient initialement que le lien fourni par les pirates ne permettait pas de vérifier l’intégralité de la fuite.
Une cellule de crise examine désormais les fichiers concernés. La police criminelle berlinoise et les autorités fédérales de cybersécurité participent également aux investigations.
Pour Berlin, payer aurait créé un autre problème. Rien ne garantit qu’un groupe ayant reçu une rançon détruise réellement les données volées. Le paiement peut aussi financer de nouvelles attaques et montrer aux cybercriminels que la victime accepte de négocier.
Le refus constitue donc un pari : supporter les conséquences d’une éventuelle divulgation plutôt que rémunérer l’attaquant.
Pourquoi les rançongiciels réclament encore du Bitcoin
L’affaire remet également Bitcoin au centre du débat sur les rançongiciels.
La cryptomonnaie permet de transférer rapidement plusieurs millions de dollars sans passer par le système bancaire traditionnel. Une adresse Bitcoin peut recevoir des fonds depuis pratiquement n’importe quel pays et les transactions ne nécessitent pas l’autorisation préalable d’une banque.
Mais Bitcoin n’est pas anonyme au sens strict.
Toutes les transactions sont enregistrées publiquement sur sa blockchain. Les enquêteurs peuvent suivre les mouvements entre adresses et tenter de relier certains portefeuilles à des personnes ou à des plateformes d’échange.
Les criminels doivent donc multiplier les techniques destinées à brouiller la provenance des fonds ou chercher à les convertir ailleurs. Le paiement en BTC facilite l’extorsion internationale, mais laisse également une trace permanente.
Berlin n’est par ailleurs qu’une victime parmi d’autres de Rhysida. Le groupe, actif depuis 2023, a déjà été associé à des attaques contre la British Library, l’armée chilienne et plusieurs organisations de santé.
Le cas allemand rappelle surtout que le montant de la rançon ne représente qu’une fraction du coût réel d’une cyberattaque. Les administrations doivent restaurer leurs systèmes, analyser les données compromises et prévenir les personnes concernées, tandis que les victimes potentielles restent exposées au vol d’identité ou à de nouvelles fraudes.
Rhysida réclamait 30 BTC. Berlin a choisi de ne rien verser. La véritable facture ne sera cependant connue qu’une fois déterminée l’ampleur exacte des données compromises et les conséquences de leur éventuelle diffusion.
