L'Ined, l'institut public de la démographie, coupe tout son réseau après une intrusion

Le samedi 17 octobre, le service informatique de l'Institut national d'études démographiques (Ined) repère une intrusion sur ses serveurs. La réponse est radicale : l'établissement isole son système d'information et coupe l'accès à ses serveurs pour éviter que l'attaque ne se propage. Depuis, la messagerie, le site internet et l'accès aux données sont touchés.

L'Ined, établissement public de recherche fondé en 1945 et installé à Aubervilliers, a rendu l'attaque publique quelques jours plus tard. Une cellule de crise a été mise en place. Les ministères de tutelle, l'ANSSI et la CNIL ont été informés, et l'institut indique avoir porté plainte.

Des données ont-elles été volées ?

C'est la question que l'on se pose pour tout organisme de recherche, et elle compte ici. L'Ined mène des enquêtes en démographie, sociologie, économie et épidémiologie, dont certaines portent sur des sujets intimes : famille, santé, violences, migrations, fin de vie. Ces bases contiennent les réponses individuelles des participants, et leur contenu est sensible.

Pour l'instant, l'institut ne fait état d'aucune exfiltration confirmée. Aucun groupe de rançongiciel n'a revendiqué l'attaque publiquement. Le point d'entrée des attaquants, l'étendue de leur accès et le calendrier de remise en service ne sont pas connus. L'institut dit que tout est mis en œuvre pour restaurer son environnement informatique en toute sécurité, et promet de tenir informés ses partenaires et ses utilisateurs.

Ce que montre la réaction de l'Ined

Couper tout le réseau dès la détection est coûteux : les chercheurs perdent leurs outils, les partenaires leurs échanges. C'est pourtant le réflexe que recommandent les autorités face à une intrusion dont on ne connaît pas l'ampleur. Pour un établissement de taille comparable, les leçons sont classiques :

• préparer à l'avance une procédure d'isolement, avec les moyens de communiquer sans la messagerie habituelle ;
• garder des sauvegardes hors ligne, testées, pour pouvoir reconstruire ;
• savoir quelles bases contiennent des données personnelles, pour pouvoir notifier vite la CNIL, dans le délai de 72 heures prévu par le RGPD.

La suite dépend de l'enquête. Si une revendication apparaît, ou si l'institut constate une fuite, il devra dire quelles enquêtes et quelles personnes sont concernées.