Berlin confirms data theft after Rhysida ransomware attack claims

Cyberattaque majeure contre l’administration berlinoise par le groupe Rhysida

L’administration de la ville de Berlin a confirmé avoir été victime d’une cyberattaque par rançongiciel menée par le groupe cybercriminel Rhysida. Découverte mi-août, cette intrusion a permis aux attaquants d’exfiltrer environ 5,79 To de données sensibles.

Points clés :

• Volume de données : Environ 1,44 million de fichiers dérobés, incluant des informations RH, financières, juridiques, des documents classifiés, ainsi que des évaluations de sécurité des infrastructures critiques (dont l’approvisionnement en eau).
• Données personnelles : Compromission avérée de noms, emails, téléphones, coordonnées bancaires (IBAN) et dossiers de personnel.
• Position du gouvernement : Le maire de Berlin, Kai Wegner, a officiellement refusé de payer la rançon. Une enquête conjointe est en cours avec la police criminelle et les agences de sécurité fédérales.
• Intégrité électorale : Les autorités ont précisé que les systèmes liés aux prochaines élections sont sécurisés et n’ont pas été compromis.
• Pression accrue : Les assaillants utilisent le non-respect du RGPD comme moyen de pression pour forcer le paiement sous quatre jours, sous peine de divulgation publique des données.

Vulnérabilités :

• Le vecteur d’attaque initial n’a pas été officiellement divulgué. Par le passé, le groupe Rhysida a utilisé des installateurs malveillants via Microsoft Teams pour infiltrer ses cibles. Aucune CVE spécifique n’a été associée à cette intrusion à ce stade.

Recommandations :

• Séparation des réseaux : Isoler systématiquement les services et départements suspects pour limiter la propagation latérale (mesure déjà appliquée par Berlin le 14 août).
• Gestion des accès : Renforcer la surveillance des comptes à hauts privilèges et des coffres-forts de mots de passe, ces derniers étant des cibles prioritaires pour Rhysida.
• Plan de réponse aux incidents : Maintenir une stratégie stricte de non-paiement pour décourager les tactiques d’extorsion, conformément aux recommandations des autorités de cybersécurité.
• Vigilance sur les données sensibles : Auditer les fuites potentielles pour informer rapidement les personnes dont les données personnelles (IBAN, documents d’identité) ont été exposées.

Source