Trente bitcoin. Pas une devise de banque centrale, pas un chèque, pas un virement classique. Une somme en crypto, brandie comme un levier de pression contre une capitale européenne après qu’une intrusion a touché deux administrations berlinoises. La question n’est pas seulement de savoir si l’État paiera. Elle est de comprendre comment un rançongiciel peut aujourd’hui s’inviter dans le quotidien d’une ville, interrompre des démarches sociales, faire vaciller la confiance dans les fichiers publics et forcer un gouvernement à parler d’extorsion sans tout dire.
Une capitale face à une extorsion numérique
Le 14 août, l’affaire est devenue publique. Deux départements du Sénat de Berlin, celui chargé de l’urbanisme, de la construction et du logement, et celui de la mobilité, des transports, de la protection du climat et de l’environnement, ont été isolés du réseau étatique. Le geste paraît technique. Il est politique. Couper une administration de son réseau, c’est admettre qu’un tiers a peut-être déjà circulé dans les serveurs, copié des dossiers, observé des mots de passe, lu des plans.
Les autorités ont d’abord indiqué que seules des informations déjà accessibles au public avaient été concernées. Quelques jours plus tard, la chancellerie du Sénat a rectifié : des données non publiques avaient bel et bien été touchées. Ce retournement change la lecture de l’incident. Un vol de pages ouvertes n’est qu’un désagrément. Un accès à des dossiers internes, à des contraventions, à des contrats ou à des schémas d’urgence est une crise de souveraineté numérique.
Le maire Kai Wegner l’a dit après une réunion extraordinaire du Sénat, le vendredi suivant : l’État de Berlin ne se laissera pas faire chanter. La formule est nette. Elle ne dit rien du montant. Elle ne nomme pas le groupe. Elle ne confirme pas les six téraoctets brandis par les assaillants. Dans ce type d’affaire, le silence n’est pas seulement prudence judiciaire. C’est aussi une tentative de ne pas valider la mise en scène des pirates.
Ce que l’on sait, ce que l’on ne sait pas. L’attaque est réelle. Deux services ont été déconnectés environ une semaine. Des prestations logement ont été perturbées. Une tentative d’extorsion existe. En revanche, ni le volume exact des fichiers extraits, ni la liste complète des documents, ni le détail officiel de la rançon n’ont été validés par Berlin.
Trente bitcoin, deux millions d’euros, zéro paiement
Selon des informations relayées à partir de communications du groupe sur le dark web, la demande s’élèverait à 30 BTC, soit environ deux millions d’euros au cours du moment. Les pirates auraient menacé de publier le butin si la ville ne payait pas. Berlin, de son côté, refuse de commenter « pour des raisons d’enquête ». Un porte-parole l’a indiqué à une agence de presse allemande : pas de précisions sur les auteurs, pas de précisions sur les exigences, pas de précisions sur les fichiers éventuellement emportés.
Cette posture n’est pas nouvelle. De nombreux États européens ont adopté une ligne de non-paiement, précisément pour éviter de transformer le budget public en distributeur automatique pour groupes criminels. Payer, c’est financer la prochaine campagne. Payer, c’est aussi admettre que la publication des données peut être stoppée par un transfert. Or l’expérience des dernières années montre que la remise d’une rançon n’offre aucune garantie : les fichiers circulent parfois quand même, les clés de déchiffrement arrivent tard, les copies restent ailleurs.
L’État de Berlin ne se laissera pas faire chanter.
Kai Wegner, maire de Berlin
Iris Spranger, sénatrice à l’Intérieur, a participé au point public après la réunion. Ensemble, les responsables ont voulu montrer une chaîne de commandement unie : police criminelle de l’État, parquet, services fédéraux. Derrière la communication, le travail est plus sale. Il s’agit de reconstituer la chronologie de l’intrusion, de savoir si des données sont sorties entre le 7 et le 12 août, plusieurs jours avant la détection, et de mesurer ce qui a réellement quitté le réseau.
Deux ministères coupés, des habitants dans l’attente
Isoler deux départements pendant une semaine n’est pas un détail administratif. C’est une ville qui, le temps de la confinement numérique, ralentit. Des habitants n’ont pas pu déposer ou recevoir des aides au logement pendant que les systèmes restaient hors du réseau d’État. Derrière chaque dossier bloqué, il y a un loyer, un délai, une famille. La cyberattaque n’est plus seulement une affaire de serveurs. Elle devient une affaire sociale.
Le choix de la déconnexion est classique. On contient. On empêche le logiciel malveillant de se propager vers d’autres services. On accepte un coût immédiat — files d’attente, démarches reportées, agents contraints de travailler autrement — pour éviter un coût plus lourd : la contamination du reste de l’administration. Dans une métropole, le réseau d’État relie bien plus que deux directions. Il relie des bases, des identifiants, parfois des plans d’urgence.
Les enquêtes doivent encore préciser le point d’entrée. Phishing, mot de passe faible, prestataire, faille non corrigée : les scénarios possibles sont nombreux et Berlin n’en a validé aucun. Ce flou n’empêche pas de poser une question simple. Combien de temps un groupe peut-il rester dans un réseau public avant d’être vu ? Si les extractions ont commencé dès le 7 août et que l’affaire n’est devenue publique que le 14, la fenêtre d’observation des attaquants a pu durer plusieurs jours.
| Élément | Version officielle | Version attribuée aux pirates |
|---|---|---|
| Date de révélation | 14 août | Non précisée comme telle |
| Services touchés | Urbanisme-logement et mobilité-environnement | Même périmètre revendiqué |
| Nature des données | D’abord public, puis non public | Dossiers sensibles, identifiants, plans |
| Volume | Non confirmé | Près de six téraoctets |
| Rancon | Extorsion confirmée, montant non détaillé | 30 BTC, publication menacée |
Rhysida, un nom qui circule, une paternité non scellée
Le nom qui revient est celui de Rhysida. Le groupe, apparu en 2023, a déjà été associé à des campagnes contre des institutions, des hôpitaux, des armées, des bibliothèques. Son mode opératoire habituel mélange intrusion réseau, chiffrement ou exfiltration, puis chantage à la publication. La crypto sert de canal de paiement : une adresse, un transfert, peu de questions posées par un guichet bancaire.
Berlin n’a pas officiellement confirmé cette attribution. Des sources de sécurité citées dans la presse allemande désignent pourtant ce groupe, à partir de publications sur un site de fuites. C’est un point délicat. Les rançongiciels aiment signer leurs coups. La signature sert la réputation. Elle fait monter la pression. Elle n’est pas, à elle seule, une preuve judiciaire.
Le catalogue brandi par les attaquants impressionne : dizaines de milliers de procédures pour infractions administratives, contrats, mots de passe, identifiants, plans d’urgence, documents liés à des infrastructures critiques. Si une partie seulement de cette liste est exacte, le préjudice dépasse le simple vol de fichiers. Il touche la capacité d’une ville à protéger des schémas sensibles et l’intimité administrative de ses habitants.
Il faut pourtant garder la tête froide. Un groupe a intérêt à gonfler le butin. Six téraoctets, c’est un chiffre qui sonne fort. Enquêteurs et experts savent que le volume annoncé n’égale pas toujours le volume réellement exploitable. Des doublons, des archives anciennes, des fichiers déjà publics peuvent gonfler la pile. D’où l’insistance de Berlin à ne rien valider pièce par pièce.
Pourquoi le bitcoin reste l’outil du chantage
On entend souvent que la crypto rend les criminels invisibles. C’est inexact. Une transaction publique laisse une trace. On peut suivre un flux d’une adresse à une autre, repérer des passages par des plateformes, croiser des habitudes de fractionnement, relier un portefeuille à un service d’échange. Ce que le bitcoin offre, ce n’est pas l’invisibilité totale. C’est la rapidité, l’absence de banquier intermédiaire au moment du paiement, et une géographie qui traverse les frontières plus vite qu’un mandat d’arrêt.
Les autorités ont déjà récupéré des fonds dans d’autres dossiers. En août 2025, des enquêteurs américains ont saisi l’équivalent de 1,09 million de dollars en crypto lié au groupe BlackSuit, ainsi que des serveurs et des noms de domaine. BlackSuit avait été associé à plus de 450 victimes connues aux États-Unis et à plus de 370 millions de dollars de demandes depuis 2022. Une victime avait versé 49,3 BTC en 2023. Une partie de cette somme a ensuite été reprise.
Un autre dossier, en juillet, a mis en lumière un suspect de 19 ans lié au collectif Scattered Spider, poursuivi pour une intrusion d’entreprise et une tentative de rançon de 8 millions de dollars restée infructueuse. Selon le parquet fédéral américain, des campagnes associées à ce collectif auraient généré plus de 100 millions de dollars de paiements, souvent après hameçonnage ou usurpation d’identité auprès de services d’assistance.
Ces précédents comptent pour Berlin. Ils rappellent qu’un refus de payer n’est pas seulement une posture morale. C’est aussi un calcul : mieux vaut parfois laisser les enquêteurs travailler sur la chaîne de blocs que d’alimenter un marché où chaque succès public recrute de nouveaux affiliés.
Un écho au Kenya, un schéma qui se répète
Quelques semaines plus tôt, un autre gouvernement s’était retrouvé face à une exigence en bitcoin. Des pirates avaient pris le contrôle du site officiel du président kényan William Ruto et réclamé 5 BTC, tout en menaçant de divulguer des informations non précisées. Les autorités locales avaient restreint l’accès au site et ouvert une enquête. L’autorité des technologies de l’information et de la communication affirmait alors n’avoir trouvé aucune preuve d’accès, de vol ou de perte de données sensibles.
Les deux affaires ne sont pas identiques. À Nairobi, le terrain visible était un site web. À Berlin, ce sont des administrations métier, des dossiers logement, des réseaux internes. Le point commun est le rituel : intrusion, menace, demande en crypto, communication publique destinée à humilier l’institution. Le but n’est pas seulement l’argent. C’est aussi la démonstration que l’État peut être atteint.
Pour les citoyens, le risque se déplace. On ne parle plus seulement d’un site défacé. On parle de contraventions, de contrats, d’identifiants, peut-être de documents liés à des infrastructures. Même si Berlin n’a pas confirmé le détail, le simple fait que l’évaluation officielle soit passée de « public » à « non public » suffit à justifier l’inquiétude.
L’élection du 20 septembre sous surveillance
Berlin vote le 20 septembre. Dans ce calendrier, une cyberattaque d’ampleur prend une couleur particulière. Iris Spranger a tenu à dire que les préparatifs électoraux n’avaient pas été compromis et que l’infrastructure du scrutin était pleinement sécurisée. La phrase vise à couper court aux rumeurs. Elle ne clôt pas le débat. Une ville peut protéger ses machines de vote et, dans le même temps, voir d’autres bases administratives ébranlées.
La confiance électorale ne se joue pas uniquement dans les urnes. Elle se joue dans la conviction que l’État maîtrise ses systèmes. Si des mots de passe internes ont circulé, si des plans d’urgence ont été copiés, l’enjeu dépasse le scrutin de septembre. Il concerne la capacité de réaction de la ville face à une crise suivante, qu’elle soit technique, climatique ou sécuritaire.
Les autorités fédérales et berlinoises travaillent ensemble pour identifier les auteurs. C’est la formule officielle. Dans les faits, ce type d’enquête croise journalisation réseau, analyses forensiques, coopération internationale et, parfois, suivi de flux crypto. Rien n’indique, à ce stade, qu’un paiement ait eu lieu. Rien n’indique non plus que les fichiers brandis seront publiés en totalité. Le chantage vit souvent de l’attente.
Ce que change l’aveu d’un vol non public
Le moment le plus révélateur de cette affaire n’est peut-être pas la demande de 30 bitcoin. C’est la correction officielle. Dire d’abord que seul le public a fuité, puis reconnaître que du non public a été touché, c’est admettre une sous-estimation initiale. Elle peut s’expliquer. Au premier jour, on voit les symptômes, pas encore le scanner complet. Elle crée pourtant un déficit de crédibilité. Les habitants se demandent ce qui, demain, sera encore révisé.
Dans une administration, les données non publiques ne sont pas un bloc unique. Il y a des dossiers individuels, des notes internes, des accès techniques, des cartographies. Tout n’a pas la même gravité. Un mot de passe réutilisé ailleurs vaut plus qu’un formulaire déjà publié. Un plan d’urgence vaut plus qu’une archive de réunion. Tant que Berlin ne dresse pas un inventaire public — et il a des raisons de ne pas le faire pendant l’enquête — le citoyen reste dans le brouillard.
Ce brouillard profite aux attaquants. Ils peuvent doser les fuites, sortir un document vrai pour rendre crédible une masse douteuse, jouer avec l’agenda médiatique. La meilleure réponse n’est pas de tout dévoiler dans l’instant. Elle est de tenir une ligne claire : oui, il y a eu intrusion ; oui, du non public a été atteint ; non, l’État ne paiera pas ; voici, dès que possible, ce que les habitants doivent surveiller, comme un changement d’identifiants ou une vigilance accrue sur l’usurpation.
Le rançongiciel comme industrie, pas comme fait isolé
Depuis 2023, Rhysida s’inscrit dans une économie. Des groupes spécialisés fournissent le logiciel, d’autres affiliés trouvent les portes, d’autres encore négocient. Les cibles de prestige — armée, bibliothèque nationale, hôpital, collectivité — valent plus qu’une PME oubliée. Elles font parler. Elles mettent un prix politique sur la table. Une ville comme Berlin n’est pas seulement un coffre de fichiers. C’est une vitrine.
Les secteurs visés se ressemblent d’un continent à l’autre : santé, défense, culture, collectivité, transport. Partout, le même dilemme. Restaurer vite le service, ou tenir le principe de non-paiement. Les hôpitaux ont parfois cédé sous la pression du soin. Les États affichent plus facilement le refus. Entre les deux, les collectivités locales sont souvent les plus exposées : assez riches pour intéresser, assez fragiles pour souffrir d’une semaine hors réseau.
La leçon opérationnelle est connue et trop peu appliquée. Segmentation des réseaux. Moins de privilèges trop larges. Mises à jour. Sauvegardes isolées. Tests de restauration. Formation contre l’hameçonnage. Contrôle des prestataires. Rien de tout cela n’est spectaculaire. Tout cela coûte moins cher que deux millions d’euros, et surtout moins cher qu’une publication de plans d’infrastructure.
Repères utiles
- Détection publique : 14 août.
- Fenêtre d’extraction évoquée : 7-12 août.
- Coupure réseau : environ une semaine.
- Scrutin régional : 20 septembre, infrastructure électorale présentée comme intacte.
- Ligne politique : pas de cession à l’extorsion.
Ce que les habitants peuvent raisonnablement craindre
La peur utile n’est pas la panique. Si des identifiants internes ont fuité, le risque immédiat est moins le roman d’espionnage que l’ingénierie sociale : faux appels, faux courriels, tentatives de réutilisation de mots de passe. Si des dossiers d’infractions administratives sont dans la nature, le risque est celui d’une exposition de la vie quotidienne, amendes, adresses, historiques. Si des contrats sont concernés, des entreprises partenaires peuvent se retrouver exposées à leur tour.
Berlin n’a pas publié de consigne détaillée destinée au grand public au moment où l’enquête restait fermée. C’est compréhensible. Cela laisse cependant un vide. Dans d’autres crises, les collectivités ont parfois invité les agents à renouveler leurs mots de passe, à activer une double authentification, à signaler des messages suspects. Même sans confirmation du volume volé, ces gestes restent pertinents.
Les infrastructures critiques mentionnées dans les revendications méritent un traitement à part. Un document d’urgence n’a de valeur pour un criminel que s’il peut être monétisé ou utilisé pour une pression supplémentaire. D’où l’intérêt, pour une ville, de revoir ses plans dès qu’un doute existe, indépendamment de la preuve complète du vol. On ne attend pas la publication pour changer une serrure dont on soupçonne la copie.
Payer ou tenir : le débat que Berlin a déjà tranché
Les partisans du paiement avancent un argument simple : protéger les habitants d’abord, discuter la doctrine ensuite. Les opposants répondent que chaque rançon publique nourrit le marché. Berlin s’est rangé dans le second camp, au moins en paroles. « Ne pas se laisser faire chanter » est une phrase de maire autant qu’une instruction aux négociateurs fantômes qui, dans ce genre d’affaires, existent parfois dans l’ombre des cellules de crise.
Le refus a un prix. Si des fichiers sortent, l’opposition politique parlera d’impréparation. Si rien ne sort, les pirates perdront la face et chercheront une autre cible. Entre les deux, il y a la zone grise des fuites partielles, assez pour blesser, pas assez pour tout révéler. C’est souvent là que se joue le dossier dans les semaines qui suivent l’ultimatum.
Il faut aussi rappeler une évidence juridique. Financer un groupe criminel n’est pas un acte anodin pour une collectivité. Même lorsque la loi nationale laisse une marge, le signal envoyé aux autres Länder, aux hôpitaux, aux entreprises publiques, pèse lourd. Berlin n’agit pas seulement pour elle. Elle agit sous le regard d’autres capitales qui, demain, recevront le même message sur un site de fuites.
La chaîne de blocs n’efface pas la police
On présente trop souvent la crypto comme un nuage hors d’atteinte. Les dossiers BlackSuit et Scattered Spider disent autre chose. Des serveurs sont saisis. Des domaines tombent. Des mineurs d’âge se retrouvent mis en examen. Des flux sont reconstruits. Cela ne signifie pas que chaque rançon sera récupérée. Cela signifie que le paiement n’est plus un geste sans lendemain.
Pour une ville, l’intérêt n’est pas de devenir experte en analyse de transactions. Il est de travailler avec des services qui savent lire ces traces, bloquer des adresses, prévenir des plateformes, partager des indicateurs. Le bitcoin reste un outil d’extorsion parce qu’il est liquide et mondial. Il est aussi un fil que l’on peut tirer, lentement, parfois trop lentement pour la victime du jour, assez vite pour dessiner une cartographie des groupes.
Berlin a donc deux horloges. Celle de la communication politique, qui exige des phrases nettes. Celle de l’enquête, qui exige du silence. Les deux se marchent dessus. C’est pour cela que le public entend une formule forte sur le chantage et n’entend presque rien sur les 30 bitcoin, les six téraoctets ou la liste des dossiers.
Ce que cette crise dit de l’État connecté
Une métropole contemporaine stocke trop de vie dans trop peu de périmètres. Aides au logement, amendes, contrats de travaux, plans climatiques, schémas de transport : le même écosystème numérique relie des politiques très différentes. Quand deux directions tombent, on découvre que la ville numérique n’était pas seulement un slogan. C’était une dépendance.
La déconnexion d’une semaine a été une béquille. Elle a aussi été un révélateur. Des services essentiels reposent sur des applications qui ne supportent pas d’être isolées. La résilience, ici, n’est pas seulement un pare-feu. C’est la capacité à continuer d’attribuer une aide au logement avec un processus dégradé, papier, rendez-vous, bascule vers un autre système. Peu de collectivités s’entraînent vraiment à ce scénario.
On peut y voir une leçon européenne. Les attaques contre des institutions ne sont plus des exceptions. Elles forment une série. Chaque capitale croit d’abord que le prochain coup frappera ailleurs. Puis un site de fuites publie un nom, une capture, une liste. Alors le débat bascule, trop tard, vers le budget de la cybersécurité, vers la formation des agents, vers la relation avec les prestataires.
Ce qu’il faudra surveiller dans les prochaines semaines
Trois signaux compteront plus que les communiqués. Premier signal : une publication réelle de documents reconnaissables, et pas seulement une liste alléchante. Deuxième signal : l’étendue confirmée par l’enquête, notamment sur les identifiants et les plans d’infrastructure. Troisième signal : d’éventuelles mesures concrètes pour les habitants et les agents, renouvellement d’accès, alertes ciblées, audit des prestataires.
Le scrutin du 20 septembre ajoutera une couche politique. Même si l’infrastructure électorale est présentée comme intacte, l’opposition pourra user de l’affaire pour parler d’impréparation. La majorité répondra par le refus de céder et par la coopération fédérale. Ce ballet est prévisible. Moins prévisible est le comportement des attaquants s’ils comprennent que l’argent ne viendra pas.
Il reste une hypothèse froide. Le groupe peut publier par morceaux pour entretenir la pression jusqu’après l’élection. Il peut aussi se taire si le butin est moins précieux que annoncé. Dans les deux cas, Berlin aura à gérer non seulement un incident technique, mais une mémoire collective : celle d’une ville qui a vu deux de ses administrations quitter le réseau, le temps d’une semaine d’été.
Une affaire de bitcoin, une affaire d’État
Réduire cette crise à un cours du bitcoin serait une erreur. Les 30 BTC sont le décor. Le sujet réel est la capacité d’une administration à encaisser une intrusion, à dire vrai sans servir les pirates, à protéger des dossiers d’habitants et à tenir une ligne de non-paiement. Berlin a choisi la fermeté verbale. Elle n’a pas encore livré le bilan matériel.
Entre les deux, le citoyen reste avec une image simple et un peu amère. Des services logement ralentis. Deux ministères hors réseau. Un maire qui refuse le chantage. Un groupe qui brandit des téraoctets. Une enquête qui avance à huis clos. C’est déjà trop pour parler d’incident mineur. Ce n’est pas encore assez pour écrire la fin.
La suite se jouera moins sur un site de fuites que dans la reconstruction silencieuse des accès, dans la vérification fichier par fichier, dans la coopération entre police de l’État et services fédéraux. Si les traces crypto existent, elles seront lues. Si les documents sensibles existent vraiment, il faudra les considérer comme compromis et les remplacer. C’est moins glamour qu’une rançon. C’est le seul travail qui compte.
En attendant, une capitale européenne a rappelé une règle que d’autres devront peut-être reprendre à leur tour. On peut discuter du montant. On peut discuter du groupe. On peut discuter du volume. On ne discute pas, du moins publiquement, du principe. L’État de Berlin dit qu’il ne se laissera pas faire chanter. Reste à voir si les serveurs, les dossiers et les habitants sortiront de cette phrase aussi indemnes que la communication le laisse espérer.
