L’Institut national d’études démographiques (Ined) est confronté à une cyberattaque d’ampleur qui perturbe l’ensemble de son environnement informatique. L’intrusion a été détectée le samedi 17 octobre 2026 par le service des systèmes d’information de l’établissement.
Face à la menace, l’Ined a pris une mesure radicale : isoler son système d’information et couper l’accès à ses serveurs afin d’éviter une éventuelle propagation de l’attaque. L’accès aux données, la messagerie et le site internet figurent parmi les services concernés.
Une intrusion détectée directement sur les serveurs
La communication publiée par le Campus Condorcet confirme qu’il ne s’agit pas d’une simple panne ou d’une attaque par déni de service. Une intrusion non autorisée a bien été détectée sur les serveurs de l’Ined.
Une cellule de crise a immédiatement été constituée. Les ministères de tutelle ont été informés, tout comme l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et la CNIL. L’Ined indique également avoir déposé plainte.
Les investigations techniques doivent maintenant déterminer le point d’entrée utilisé par les attaquants, l’étendue exacte de leur accès et les conditions permettant de remettre progressivement les services en ligne sans réintroduire la menace.
Un institut public qui manipule d’importantes bases de recherche
Créé en 1945, l’Ined est un établissement public de recherche installé à Aubervilliers et spécialisé dans l’étude des populations. Ses travaux couvrent notamment la démographie, la sociologie, l’économie, la statistique et l’épidémiologie.
L’établissement produit et conserve de nombreuses enquêtes et bases de données scientifiques. Certaines recherches portent sur des populations ou des sujets particulièrement sensibles : personnes sans domicile, jeunes pris en charge par l’aide sociale à l’enfance, victimes de violences, migrations, usages de drogues, fin de vie ou encore parcours familiaux et médicaux.
Cette particularité rend naturellement l’incident préoccupant. Mais rien ne permet actuellement d’affirmer que les bases contenant les réponses individuelles des participants à ces enquêtes ont été consultées ou volées.
Aucune fuite de données confirmée pour le moment
À ce stade, l’Ined ne fait état d’aucune exfiltration confirmée. Aucun groupe de ransomware n’a non plus été identifié publiquement comme responsable de l’attaque lors des recherches de Cyberattaque.org.
Il serait donc prématuré de présenter l’incident comme une fuite des données démographiques ou des enquêtes de l’institut. La compromission des serveurs est confirmée, mais le périmètre des informations éventuellement accessibles aux attaquants reste inconnu.
L’Ined précise justement que les analyses en cours doivent permettre de déterminer les conditions d’une restauration sécurisée de l’accès aux données, de la messagerie et de son site web.
Pourquoi couper complètement le système ?
L’isolement du système d’information est une mesure classique lorsqu’une intrusion active est détectée. Elle permet de couper les communications utilisées par l’attaquant, empêcher son déplacement vers d’autres serveurs et préserver les machines pour les analyses forensiques.
Les équipes doivent ensuite identifier les comptes ou machines compromis, rechercher d’éventuelles portes dérobées, modifier les secrets concernés et restaurer progressivement les services depuis des environnements considérés comme sains.
Cette procédure peut expliquer pourquoi l’impact reste important plusieurs jours après la détection initiale : remettre rapidement un serveur compromis en ligne pourrait permettre à l’attaquant de reprendre immédiatement pied dans le réseau.
Le vecteur de l’attaque reste inconnu
L’Ined ne communique pour l’instant aucun détail sur la manière dont les pirates sont entrés dans son infrastructure. Plusieurs scénarios sont possibles : vulnérabilité sur un service exposé à Internet, compte compromis, hameçonnage d’un collaborateur ou exploitation d’un équipement insuffisamment corrigé.
Aucun de ces scénarios n’est actuellement confirmé. La présence de l’ANSSI dans la gestion de l’incident devrait permettre d’établir plus précisément la chronologie et le périmètre technique de l’attaque.
Plusieurs jours après l’intrusion, l’enquête continue
L’attaque a été détectée le 17 octobre, mais la communication publique n’est intervenue que quelques jours plus tard, une fois les premières mesures de confinement mises en place.
Le Campus Condorcet évoque désormais un « piratage d’ampleur ». L’Ined affirme que tout est mis en œuvre pour restaurer son environnement informatique en sécurité et indique qu’il continuera d’informer ses partenaires de l’évolution de la situation.
Le principal point à surveiller sera désormais celui des données : l’intrusion dans les serveurs est acquise, mais il reste à déterminer si les attaquants ont seulement perturbé l’infrastructure ou s’ils ont également réussi à extraire des fichiers avant son isolement.