Berlin Refuse 30 Bitcoin Après Une Cyberattaque Majeure

Trente bitcoin. Deux administrations berlinoises isolées du réseau. Une menace de publication. Et un maire qui, devant les caméras, choisit une phrase courte plutôt qu’un chèque. L’affaire n’a rien d’un scénario de série : elle s’est déroulée à Berlin, en août 2026, et elle pose une question que les capitales européennes connaissent trop bien. Que fait un État quand des inconnus affirment détenir ses dossiers et réclament une rançon en cryptomonnaie ?

Berlin Face À Une Tentative D’Extorsion En Bitcoin

Le 14 août, l’attaque est devenue publique. Elle visait le Sénat pour le développement urbain, la construction et le logement, ainsi que le Sénat pour la mobilité, les transports, la protection du climat et l’environnement. Pendant près d’une semaine, les deux services ont été déconnectés du réseau de l’État. Des démarches quotidiennes ont ralenti. Des habitants n’ont pas pu déposer ou recevoir certaines aides au logement. Derrière l’écran administratif, une autre scène se jouait : une tentative d’extorsion dont le montant avancé par plusieurs sources s’élève à 30 bitcoin, soit environ deux millions d’euros au cours du moment.

Kai Wegner, bourgmestre-gouverneur, a tranché après une réunion extraordinaire du Sénat. Berlin, a-t-il dit, ne se laissera pas faire chanter. Iris Spranger, sénatrice à l’Intérieur, l’a accompagné dans cette communication. Ni l’un ni l’autre n’a nommé publiquement les auteurs. Ni l’un ni l’autre n’a confirmé officiellement le chiffre de la rançon. La Chancellerie du Sénat a même précisé qu’elle ne commenterait ni les assaillants, ni leurs exigences, ni le contenu éventuellement extrait, « pour des raisons d’enquête ».

L’État de Berlin ne se laissera pas faire chanter.

Kai Wegner, bourgmestre-gouverneur de Berlin

Ce Que Les Autorités Confirment, Et Ce Qu’elles Taisent

Le récit officiel a changé. Dans un premier temps, Berlin affirmait que seules des informations déjà accessibles au public avaient été touchées. Quelques jours plus tard, mercredi suivant la découverte, la Chancellerie a reconnu que des données non publiques avaient aussi été concernées. Ce basculement n’est pas un détail de communication. Il transforme une intrusion gênante en incident de souveraineté numérique.

Les enquêteurs tentent encore de dater le début de l’intrusion. Des informations relayées par la presse allemande évoquent une exfiltration possible entre le 7 et le 12 août, plusieurs jours avant la détection. L’Office de police criminelle de l’État de Berlin et le parquet travaillent sur le dossier. Des services fédéraux sont associés. L’objectif déclaré est double : identifier les auteurs et cartographier ce qui a réellement quitté les serveurs.

Rhysida, Un Nom Qui Revient Sans Être Officiellement Validé

Le magazine Der Spiegel a attribué l’attaque au groupe Rhysida, en s’appuyant sur des publications de la formation sur son site de fuites. Des sources sécuritaires citées par la revue iraient dans le même sens. Berlin, elle, n’a pas authentifié cette paternité. Dans les affaires de rançongiciel, l’écart entre la revendication et la preuve est souvent large. Un groupe peut exagérer, recycler des fichiers, ou coller son étiquette sur un vol déjà commis par d’autres.

Rhysida n’est pas une apparition de 2026. Le groupe a émergé en 2023. Il a été associé à des campagnes contre des institutions publiques, des établissements de santé et d’autres organisations. Parmi les cibles déjà citées dans la chronique internationale figurent la British Library et l’armée chilienne. Le mode opératoire habituel mêle intrusion réseau, chiffrement ou vol de données, puis pression par la menace de publication.

Dans le cas berlinois, la revendication publique parlerait de près de six téraoctets. Le catalogue allégué comprendrait des dossiers d’infractions administratives par dizaines de milliers, des contrats, des mots de passe, des identifiants, des plans d’urgence et des documents liés à des infrastructures critiques. Aucune de ces listes n’a été reprise mot pour mot par les autorités. C’est précisément ce silence qui nourrit la spéculation.

Pourquoi Trente Bitcoin Et Pas Un Virement Bancaire

Les rançongiciels aiment le bitcoin pour une raison simple : le paiement n’emprunte pas le circuit d’une banque traditionnelle. Une adresse, une transaction, un réseau ouvert vingt-quatre heures sur vingt-quatre. Pas de chargé de clientèle. Pas de gel immédiat par un établissement unique. Cette commodité, toutefois, n’équivaut pas à l’invisibilité. La chaîne publique du bitcoin laisse une trace. Les enquêteurs peuvent suivre les mouvements, observer les regroupements d’adresses, repérer les ponts vers des plateformes ou des services de mélange.

Le montant de 30 BTC n’a rien d’anodin. Il se situe dans une zone assez élevée pour peser sur une collectivité, assez basse pour rester « négociable » dans l’esprit de certains intermédiaires. Les groupes de rançon calibrent souvent leurs exigences selon la taille de la victime, le type de données et la calendrier politique. Une capitale en période préélectorale offre, du point de vue de l’attaquant, un levier supplémentaire : le temps, la peur du scandale, la pression médiatique.

Berlin a choisi l’autre levier, celui du refus. Ce choix n’est pas seulement moral. Payer peut financer la campagne suivante. Payer n’offre aucune garantie de destruction des copies. Payer peut même signaler qu’une administration est un client solvable. Les services de renseignement et de police européens le répètent depuis des années. Les collectivités, elles, restent parfois tentées par le silence et le règlement discret. Ici, le refus a été public.

Deux Ministères Coupés, Une Ville Ralentie

Isoler un service du réseau d’État n’est pas un geste cosmétique. C’est une décision de confinement. On accepte de perdre de la fluidité pour limiter la propagation. À Berlin, cette parenthèse a duré environ sept jours. Le logement et la mobilité touchent la vie concrète : dossiers d’aides, permis, flux administratifs, outils internes. Quand ces tuyaux se ferment, le citoyen ne voit pas un groupe de rançon. Il voit une file d’attente, un formulaire bloqué, un conseiller qui ne peut plus ouvrir le bon écran.

Cette dimension humaine explique pourquoi les attaques contre les collectivités frappent plus fort que leur fiche technique. Un vol de six téraoctets, si le chiffre était avéré, n’est pas seulement un volume. C’est une masse de trajectoires individuelles : contraventions, contrats, mots de passe oubliés dans un tableur, plans d’intervention qu’on croyait rangés dans un coffre numérique. Même sans publication, le simple soupçon change le rapport de confiance.

Iris Spranger a tenu à rassurer sur un point sensible : l’infrastructure électorale du scrutin du 20 septembre. Selon elle, elle serait pleinement sécurisée. L’attaque n’aurait pas entamé les préparatifs. La phrase vise un risque précis. Dans une démocratie locale, l’idée qu’un dossier d’urbanisme ou un fichier d’infractions puisse fuir est grave. L’idée qu’un calendrier électoral puisse être perturbé l’est davantage encore.

Données Publiques, Données Cachées, Une Frontière Qui A Bougé

Le premier communiqué, plus rassurant, parlait d’informations déjà exposées. Le second a admis le contraire. Entre les deux, on imagine des journaux d’événements relus, des journaux d’accès comparés, des copies de sauvegarde inspectées. Une administration moderne produit des couches. Certaines pages sont destinées au public. D’autres vivent derrière un authentifiant. D’autres encore n’auraient jamais dû quitter un périmètre restreint.

Cette correction officielle a une conséquence politique. Elle oblige Berlin à traiter l’incident comme une fuite potentielle, pas seulement comme une interruption de service. Elle oblige aussi les citoyens à se poser une question pratique : leurs dossiers d’amende, leurs contrats, leurs identifiants internes à l’administration peuvent-ils se retrouver sur un site de fuites ? Pour l’instant, l’État ne le confirme pas. Il ne l’infirme pas non plus avec le niveau de détail que le public attend.

• Ce que Rhysida affirme avoir pris : un volume proche de six téraoctets, des procédures d’infraction, des contrats, des identifiants, des plans d’urgence, des documents d’infrastructures.
• Ce que Berlin confirme : une attaque, une tentative d’extorsion, des données non publiques touchées, un refus de paiement, une enquête en cours.
• Ce qui reste dans le brouillard : l’identité formelle des auteurs, le montant exact exigé, la réalité du volume, la liste précise des fichiers extraits.

Un Schéma Déjà Vu, Du Kenya Aux Dossiers Américains

Quelques semaines plus tôt, un autre gouvernement avait croisé le bitcoin dans un dossier d’intrusion. Des pirates avaient pris le contrôle du site officiel du président kényan William Ruto et réclamé 5 BTC, tout en menaçant de divulguer des informations non précisées. Nairobi avait restreint l’accès au site et ouvert une enquête. L’autorité des technologies de l’information et de la communication affirmait alors n’avoir trouvé aucune preuve qu’une information sensible ait été consultée, volée ou perdue. Même ressort : exigence en cryptomonnaie, communication publique prudente, écart entre la menace et la preuve.

Aux États-Unis, d’autres dossiers montrent que la piste crypto n’est pas une impasse. En août 2025, des autorités américaines ont saisi 1,09 million de dollars en cryptomonnaies liées au groupe BlackSuit, ainsi que quatre serveurs et neuf noms de domaine. BlackSuit avait été associé à plus de 450 victimes connues aux États-Unis et à plus de 370 millions de dollars d’exigences depuis 2022. Une victime avait versé 49,3 BTC en 2023. Une partie de ce paiement a ensuite été récupérée, selon le département de la Justice.

En juillet, un autre dossier américain a mis en lumière le groupe Scattered Spider. Un jeune homme de 19 ans, Peter Stokes, a été mis en examen pour une intrusion d’entreprise et une demande de rançon de 8 millions de dollars qui n’aurait pas abouti. Le ministère affirmait que des intrusions liées à cette galaxie avaient déjà généré plus de 100 millions de dollars de paiements. Les techniques citées incluaient l’hameçonnage et l’usurpation d’identité auprès des services d’assistance. Le contraste est utile : d’un côté, des groupes qui se présentent comme des entreprises du crime ; de l’autre, des adolescents capables d’entrer par la porte du support technique.

La Traçabilité Du Bitcoin N’Est Pas Un Mythe

On répète trop vite que le bitcoin est anonyme. Il est plutôt pseudonyme. Chaque mouvement s’inscrit dans un registre consultable. Les spécialistes de la forensic blockchain reconstruisent des graphes. Ils observent les horodatages, les montants ronds, les passages par des plateformes d’échange, les habitudes de fragmentation. Rien de magique. Beaucoup de patience, d’outils et de coopération internationale.

Cette traçabilité explique certaines saisies spectaculaires. Elle n’explique pas tout. Un attaquant discipliné peut multiplier les sauts, attendre, recourir à des services d’obscurcissement, convertir par petites touches. Le refus de Berlin de payer coupe court à une partie de cette mécanique : pas de flux initial, pas de première adresse à suivre depuis les caisses de la ville. Reste le travail sur les serveurs, les journaux, les éventuelles portes dérobées, les identifiants compromis.

Payer une rançon n’efface pas les copies. Cela finance souvent la prochaine campagne.

Principe désormais répété par de nombreuses autorités européennes

Infrastructures Critiques Et Plans D’Urgence : Le Cœur Du Sujet

Si les documents liés aux infrastructures critiques figuraient vraiment dans le lot, l’affaire changerait encore d’échelle. Un plan d’urgence n’est pas un communiqué de presse. Il décrit des enchaînements, des responsables, parfois des vulnérabilités opérationnelles. Le publier, même partiellement, offre à d’autres acteurs un mode d’emploi. C’est pourquoi les États traitent ces dossiers avec une retenue qui agace le public et rassure les opérateurs.

Berlin se trouve donc dans une position classique des crises cyber : trop parler peut aider l’adversaire, trop se taire nourrit la défiance. La Chancellerie a choisi le second pôle, au moins tant que l’enquête avance. Le risque, pour la collectivité, est de laisser le récit aux revendications du groupe. Dans l’économie de l’attention, une capture d’écran postée sur un site de fuites pèse parfois plus qu’un communiqué prudent.

Les mots de passe et identifiants, s’ils ont réellement circulé, posent un autre problème, plus prosaïque. Un mot de passe réutilisé ouvre d’autres portes. Un compte de prestataire oublié dans un contrat devient une rampe. Les attaques contre les administrations réussissent souvent moins par génie cryptographique que par accumulation de petites négligences : compte trop privilégié, correctif en retard, annuaire trop généreux, pièce jointe trop vite ouverte.

Ce Que Change Une Élection Qui Approche

Le 20 septembre, Berlin vote. Même si l’infrastructure du scrutin est présentée comme intacte, le calendrier politique colore chaque phrase. Une fuite de contrats d’urbanisme peut devenir un argument de campagne. Une interruption des aides au logement peut se transformer en grief social. Une rançon en bitcoin peut être brandie comme preuve d’impréparation numérique. Les adversaires politiques n’ont pas besoin que toutes les allégations soient vraies. Ils ont besoin qu’elles soient répétables.

Wegner a donc un intérêt immédiat à afficher la fermeté. Spranger a un intérêt immédiat à isoler l’élection du reste du dossier. Les enquêteurs, eux, ont un intérêt inverse : le temps, le secret, la reconstruction minutieuse. Ces trois logiques cohabitent mal. C’est le propre des crises d’État à l’ère des fuites.

Le Marché Du Rançongiciel N’Attend Pas Les Communiqués

Depuis 2023, Rhysida s’inscrit dans une industrie. Des équipes se spécialisent. Certaines entrent, d’autres chiffrent, d’autres négocient, d’autres publient. Le bitcoin, l’ether ou d’autres actifs servent de monnaie de règlement. Les sites de fuites servent de vitrine. Les victimes, publiques ou privées, deviennent des études de cas. Cette industrialisation explique la récurrence des mêmes recettes : double extorsion, compte à rebours, extraits choisis pour maximiser la honte.

Les collectivités locales sont des cibles de choix. Elles tiennent des données personnelles, des contrats, des plans, et disposent rarement des mêmes budgets de défense qu’un ministère régalien. Elles doivent pourtant rester ouvertes au public. Cette ouverture est une vertu démocratique et une surface d’attaque. Berlin n’est ni la première capitale touchée, ni probablement la dernière.

Ce Que Les Berlinois Peuvent Raisonnablement Surveiller

Sans verser dans la panique, quelques réflexes s’imposent. Surveiller les communications officielles plutôt que les captures anonymes. Se méfier des messages qui se présenteraient comme un service de la ville demandant de « vérifier » un dossier après la fuite. Changer les mots de passe réutilisés si l’on a eu des échanges numériques avec les administrations concernées. Documenter les blocages de service pour les recours éventuels. Rien de tout cela n’équivaut à une preuve que tel ou tel fichier personnel a été volé. Cela relève de l’hygiène minimale après un incident d’ampleur.

Les entreprises prestataires des deux sénats ont, elles, une responsabilité particulière. Un mot de passe de maintenance, une passerelle de télémaintenance, un compte de développement oublié : ces détails font souvent la différence entre une tentative et une exfiltration. Les audits post-incident servent à cela. Ils sont lents. Ils sont nécessaires.

Entre Transparence Publique Et Secret D’Enquête

La phrase de la Chancellerie — pas de commentaire « pour des raisons d’enquête » — est juridiquement classique. Elle est politiquement fragile. Le public moderne compare en temps réel le communiqué officiel et la page de fuites. Si le groupe publie des extraits authentiques, le silence officiel s’effondre. Si le groupe exagère, le silence officiel apparaît soudain sage. Berlin joue donc une partie dont le prochain coup ne lui appartient pas entièrement.

Les journalistes allemands ont déjà avancé plus loin que le gouvernement sur le nom du groupe et le montant. C’est le rôle de la presse. C’est aussi un risque : relayer une revendication, même en la qualifiant, contribue à la stratégie de pression. L’équilibre consiste à dire ce qui est sourcé, à marquer ce qui ne l’est pas, et à rappeler que six téraoctets auto-proclamés ne sont pas six téraoctets expertisés.

Le Bitcoin Comme Instrument Politique, Pas Seulement Financier

Dans cette affaire, le bitcoin n’est pas le sujet économique principal. Il est le moyen. Il sert à quantifier la menace, à la rendre transférable, à la dramatiser. Deux millions d’euros parlent à un budget municipal. Trente pièces parlent à un public crypto. Les deux langages coexistent. C’est pourquoi l’incident intéresse à la fois les rédactions générales et les rédactions spécialisées.

Pour autant, réduire le dossier à un cours du bitcoin serait absurde. Que l’actif vaille 78 000 dollars ou la moitié, la question de fond reste la même : un État doit-il acheter le silence d’un groupe qui prétend détenir ses archives ? Berlin a répondu non. D’autres collectivités, ailleurs, ont parfois répondu autrement, dans l’ombre. Ces divergences créent un marché. Les groupes le savent.

Ce Qu’il Faudra Vérifier Dans Les Semaines Qui Viennent

Plusieurs points départageront le récit. Les autorités confirmeront-elles ou infirmeront-elles l’attribution à Rhysida ? Un volume vérifié remplacera-t-il le chiffre de six téraoctets ? Des extraits authentifiés apparaîtront-ils ? Des citoyens seront-ils prévenus individuellement si leurs dossiers figurent dans le lot ? Des prestataires verront-ils leurs accès révoqués en masse ? L’élection se déroulera-t-elle sans incident numérique parallèle ?

Il faudra aussi regarder du côté des suites judiciaires. Une enquête locale peut rester locale. Elle peut aussi s’articuler à des procédures étrangères, surtout si des serveurs, des noms de domaine ou des flux crypto apparaissent dans d’autres dossiers. Les saisies américaines de 2025 autour de BlackSuit rappellent qu’un groupe n’est pas une abstraction. Il a des machines, des adresses, parfois des intermédiaires identifiables.

Enfin, Berlin devra expliquer, un jour, pourquoi le premier diagnostic était incomplet. Cette explication technique vaudra plus qu’un slogan. Elle dira si l’attaque a profité d’une faille connue, d’un compte trop ouvert, d’un correctif trop lent. Les collectivités européennes liront cette page avec attention. Elles s’y reconnaîtront.

Une Capitale Qui Refuse, Un Public Qui Attend Des Preuves

Au terme de cette première séquence, le tableau est net sur un point et flou sur presque tout le reste. Net : Berlin ne paie pas. Flou : l’étendue réelle du vol, l’identité formelle des auteurs, la valeur exacte de la menace de publication. Entre les deux, des habitants ont perdu quelques jours de fluidité administrative, deux sénats ont vécu hors réseau, et une revendication de 30 bitcoin a voyagé plus vite que les conclusions de police.

Le bitcoin, ici, n’a pas « attaqué » Berlin. Des opérateurs humains l’ont utilisé comme levier. La chaîne publique pourra, le cas échéant, aider à suivre un paiement qui n’aura pas lieu. Les journaux systèmes, eux, diront davantage sur la porte d’entrée. C’est de ce côté que se joue désormais l’essentiel, loin des chiffres ronds et des captures d’écran.

Reste une exigence simple, presque banale, et pourtant difficile à tenir dans l’urgence : distinguer la revendication de la preuve. Tant que cette ligne n’est pas tracée par l’enquête, chaque chiffre avancé — trente pièces, six téraoctets, dizaines de milliers de dossiers — doit rester ce qu’il est. Une allégation. Grave. Possible. Pas encore un inventaire d’État.