☕️ L’IRD confirme un piratage, les données de 7 500 personnes exposées
L’IRD, institut public français de recherche, a confirmé un piratage de ses systèmes informatiques cet été, exposant les données personnelles de 7 500 individus — soit plus de trois fois son effectif total. Cet incident, révélé tardivement malgré une détection précoce, interroge sur la vulnérabilité des institutions scientifiques face aux cybermenaces, dans un contexte où les attaques ciblant les données sensibles se multiplient.
Quelles données personnelles ont été exposées lors de ce piratage ?
L’IRD a révélé que les données exposées incluaient des informations d’identification (nom, prénom, sexe, nationalité, date et lieu de naissance), des données personnelles (adresse postale, numéro de téléphone privés), des données professionnelles (matricule, rattachement administratif, grade, poste, discipline, adresse électronique et téléphone professionnels) ainsi que le numéro de sécurité sociale des personnes concernées.
Pourquoi le nombre de personnes touchées par l’incident est-il particulièrement significatif ?
Le chiffre de 7 500 personnes exposées est d’autant plus frappant que l’IRD ne compte que 2 249 agents en 2025, ce qui suggère que des données de collaborateurs externes, anciens employés ou partenaires ont également été compromises. Cette disproportion soulève des questions sur la gestion des accès et la sécurité des systèmes informatiques de l’institut.
Quelles mesures l’IRD a-t-elle mises en place après la détection de l’intrusion ?
L’IRD a immédiatement isolé les serveurs concernés, engagé des investigations avec l’ANSSI, le CERT RENATER et d’autres acteurs de la cybersécurité, et instauré une cellule de crise. La direction a également signalé l’incident aux autorités compétentes et porté plainte, tout en assurant que des mesures correctives avaient été appliquées pour sécuriser les systèmes et limiter les risques.
Pourquoi l’IRD n’est-elle pas en mesure de confirmer l’exfiltration des données ?
Bien que l’intrusion ait été détectée le 24 juillet et que l’exposition des données ait été établie le 6 août, l’IRD indique ne pas pouvoir confirmer si ces données ont effectivement été récupérées par des tiers. Cette incertitude reflète les limites des investigations internes en matière de cybersécurité, où l’absence de preuve d’exfiltration ne garantit pas l’absence de compromission.
Ce que ça pourrait changer
Cet incident pourrait renforcer les exigences en matière de cybersécurité pour les institutions publiques, notamment celles impliquées dans la recherche, où la protection des données sensibles est cruciale. Il met aussi en lumière la nécessité de transparence et de réactivité dans la gestion des crises numériques, pour limiter les risques de fraude ou d’usurpation d’identité liés à l’exposition de données personnelles.
