Université Paris-Saclay : RansomHouse revendique le vol de 1 To de données

Une rentrée difficile

Jusqu’ici, l’établissement s’était refusé à désigner un responsable ou même à indiquer s’il fallait raisonnablement craindre un vol de données préalable au chiffrement de son infrastructure. 

Encore en ce 9 octobre au matin on peut lire dans la FAQ que « l’identité des pirates n’est pas connue pour l’heure », mais également qu’« une fuite de données, personnelles ou non, ne peut à ce jour être confirmée ou d’infirmée ». Toutefois, « il n’est donc pas exclu que certaines données aient été récupérées par les pirates, sans que nous puissions en connaître l’étendue ou la nature ».

Début septembre, l’établissement a fait sa rentrée « en mode dégradé ». Car « aucune de nos facultés, écoles et IUT n’a souhaité décaler la rentrée », expliquait Claire Lartigue, vice-présidente de la Commission de la formation et de la vie universitaire de l’université Paris-Saclay, à nos confrères de Campus Matin, le 16 septembre.

Dans un communiqué du 30 septembre, la FSU estime que « l’ampleur des dégâts est comparable aux cyberattaques d’hôpitaux ou de communes, qui souffrent d’un manque d’investissement chronique dans la sécurité informatique ». Le syndicat indique que « cette cyberattaque nous oblige à repenser totalement l’infrastructure informatique de l’université » et relève qu’il faudra « des mois pour sortir de cette crise ».

La cybersécurité de l’enseignement en question

La cyberattaque survenue à l’université de Paris-Saclay rappelle, par l’ampleur de l’impact, celle de Toulouse INP, à la rentrée 2022. Mais justement, cette année-là s’est avérée particulièrement intense, sur le front des attaques informatiques, pour le monde de l’enseignement en France.

En 2022, nous avions ainsi recensé une dizaine de cas, dont l’Enac et Grenoble INP, soit plus que pour 2019, 2020 et 2021. Pour 2023, nous n’avons relevé que 6 cas, et 4 à date, pour 2024. Ce n’est pas pour rien que la communauté de l’enseignement supérieur a passé les fêtes de fin d’année 2022 en état d’alerte.

De nombreux incidents sont liés au détournement de comptes dont les identifiants ont été compromis par infostealer et qui permettent d’accéder à des ressources internes au système d’information de l’établissement concerné. Et cette menace continue de peser fortement. 

Au cours du premier semestre 2024, plusieurs centaines d’infections par infostealer ont été détectées quasiment chaque semaine par les équipes du CERT Renater.

Qui se cache derrière RansomHouse ?

L’enseigne de ransomware RansomHouse est apparue en 2022 et s’est rapidement distinguée par la revendication d’une cyberattaque contre le fondeur AMD. Elle a également revendiqué une cyberattaque contre le groupe Charles André (GCA), début 2024.

Initialement, l’enseigne assurait ne pas chiffrer les données de ses victimes et se contenter de les voler, suivant un modèle de simple extorsion. Elle est néanmoins désormais connue pour utiliser un ransomware nommé White Rabbit. 

Ce dernier a été observé pour la première fois fin 2021 et pourrait être lié au groupe suivi sous la référence FIN8. Il emprunte des techniques au disparu Egregor. Mais RansomHouse n’est pour autant pas nécessairement un groupe monolithique : des victimes ayant apparu sur sa vitrine ont également été revendiquées sous d’autres bannières.