Les plus grandes cyberattaques en Allemagne

Les entreprises et les organismes publics allemands comptent parmi les plus visés en Europe. Le Bundeskriminalamt a recensé 333 922 cas de cybercriminalité en 2025, pour un préjudice estimé à 202,4 milliards d'euros. La même année, 1 041 attaques par ransomware ont été signalées, et l'Allemagne s'est classée au troisième rang mondial en termes d'incidents confirmés liés aux ransomwares.

Derrière ces chiffres se cachent des cas concrets : un prestataire informatique municipal qui a mis 72 communes hors ligne, un géant de la pièce automobile qui a perdu 40 téraoctets de données, un hôpital universitaire qui a dû refuser des patients. Cet article passe en revue six attaques avérées, leur coût et le point commun que partagent presque toutes ces attaques.

Les plus grandes cyberattaques en Allemagne

1. Südwestfalen IT (2023) : 72 communes sans connexion Internet

Le 30 octobre 2023, le prestataire informatique municipal Südwestfalen IT a été victime d’une attaque par rançongiciel attribuée au groupe Akira. Le centre de données a coupé ses connexions avec les communes qu’il desservait, mettant d’un seul coup hors ligne 72 villes et communes membres. Les citoyens n’ont plus pu immatriculer leurs véhicules, demander des documents ni utiliser les services municipaux.

Environ 170 personnes ont participé aux opérations de remise en état, y consacrant quelque 43 000 heures de travail, et le rétablissement complet des services s'est prolongé jusqu'à l'automne de l'année suivante. Il s'agit toujours de l'incident le plus important et le plus complexe de ce type en Allemagne.

2. Continental (2022) : 40 téraoctets volés

Au cours de l'été 2022, le groupe LockBit a pénétré les réseaux de l'équipementier automobile Continental et est resté indétecté pendant environ un mois. Il a dérobé environ 40 téraoctets de données : budgets, plans d'investissement et de stratégie, dossiers du personnel, ainsi que des communications confidentielles des dirigeants et du conseil de surveillance. Des données appartenant à des clients, dont Volkswagen, figuraient parmi les données dérobées.

Les pirates ont publié un fichier répertoriant les emplacements de stockage de 55 millions de fichiers. Continental a écrit à des dizaines de milliers de personnes concernées et a publiquement appelé à ne pas céder aux demandes de rançon.

3. Centre hospitalier universitaire de Düsseldorf (2020) : un hôpital qui a refusé d'accueillir un patient

Une attaque par ransomware contre l'hôpital universitaire de Düsseldorf a contraint cet établissement à se retirer du réseau des soins d'urgence. Les systèmes ont été chiffrés et les patients ont dû être redirigés vers d'autres hôpitaux. Cette affaire a retenu l'attention internationale, car elle constitue l'un des exemples les plus frappants des conséquences d'une panne des infrastructures de soins critiques. Les autorités allemandes chargées de la sécurité ont attribué cette attaque, ainsi que d'autres incidents, au groupe connu sous le nom de « Double Spider ».

4. Arrondissement d'Anhalt-Bitterfeld (2021) : première déclaration d'état d'urgence liée à une cybercatastrophe

À la suite d'une attaque par ransomware, le district d'Anhalt-Bitterfeld a déclaré un « Katastrophenfall », c'est-à-dire un état d'urgence officiel. C'était la première fois qu'une autorité allemande prenait cette mesure à la suite d'une cyberattaque. Le versement des prestations sociales et les services aux citoyens ont été perturbés pendant des semaines, et il a fallu plusieurs mois au district pour retrouver un fonctionnement normal.

5. Funke Mediengruppe (2020) : un éditeur sans rédaction

L'un des plus grands groupes de presse allemands a été victime d'un rançongiciel qui s'est propagé dans ses systèmes éditoriaux et de production. Les journaux ont été publiés sous forme d'éditions d'urgence. Comme dans les cas de Düsseldorf et d'Anhalt-Bitterfeld, les autorités allemandes ont désigné le groupe Double Spider comme responsable.

6. La tendance qui se cache derrière les gros titres (2025)

Si les cas individuels font la une, c'est la tendance générale qui importe davantage. En 2025, le secteur industriel représentait 23 % de l'ensemble des fuites de données en Allemagne, suivi par les services juridiques et de conseil (14 %) et le secteur de la construction et de l'ingénierie (11 %). Selon Google Threat Intelligence, le groupe SafePay était à l'origine d'environ un quart des fuites de données rendues publiques cette année-là en Allemagne. Les cibles ne se limitent plus aux seules entreprises de renom.

Ce que ces cas ont en commun

En comparant ces rapports, une tendance se dessine. Il ne s'agissait pas d'exploits « zero-day » sophistiqués visant des systèmes hautement sécurisés. Dans tous les cas, les attaquants ont réussi à s'introduire par une porte tout à fait ordinaire : des identifiants volés, un e-mail convaincant, un employé qui a agi sans se poser de questions.

L'affaire Continental est révélatrice. Les pirates se trouvaient au sein du réseau depuis environ un mois avant que quelqu'un ne s'en aperçoive. Il ne s'agit pas d'une défaillance des pare-feu, mais d'une défaillance des mécanismes de détection et des signaux humains qui la précèdent. Quelqu'un, quelque part, a remarqué quelque chose qui semblait anormal.

C'est pourquoi le BSI et le BKA ne cessent de mettre en avant le même point faible. Les contrôles techniques bloquent les menaces connues. Ils n’empêchent pas un employé d’ouvrir une pièce jointe qui ressemble à une facture, de brancher une clé USB trouvée sur le parking ou d’approuver une demande de connexion après un appel téléphonique d’une personne se faisant passer pour le service informatique. Cette dernière méthode a été utilisée dans certaines des plus grandes violations de données européennes de ces dernières années, et l’hameçonnage fonctionne exactement selon le même principe : la curiosité, et non une faille technique.

Comment protéger votre organisation

Les sauvegardes, l'application des correctifs et la segmentation du réseau constituent la base, et chacune des organisations citées ci-dessus disposait d'une forme ou d'une autre de ces mesures. Ce qui distingue généralement les entreprises qui ont résisté à une attaque de celles qui ont fait la une des journaux, c'est la rapidité avec laquelle quelqu'un a pris conscience de ce qui se passait.

Cette capacité de reconnaissance s'acquiert par l'entraînement. Dans la pratique, trois éléments font toute la différence :

• Des formations régulières et courtes plutôt qu'une session annuelle. La prise de conscience s'estompe. Une session annuelle permet d'apprendre des faits qui sont déjà oubliés dès le mois de mars ; une répétition hebdomadaire permet d'acquérir un réflexe.
• Simulations réalistes d'hameçonnage. Lire des articles sur l'hameçonnage n'est pas la même chose que d'en être victime. Ces simulations vous permettent d'identifier les services qui ont besoin d'aide avant qu'un pirate ne s'en aperçoive à votre place.
• Une culture où le signalement est la norme. Un salarié qui a cliqué et le signale dans les cinq minutes vaut plus que celui qui garde le silence pendant cinq jours.

Pour les organisations relevant du champ d'application de la directive NIS2, cela n'est plus facultatif. La directive mentionne explicitement la formation de sensibilisation, et notre guide NIS2 explique en détail ce que cela implique concrètement.