L’Institut de recherche pour le développement (IRD) informe plusieurs milliers de personnes d’une violation de données personnelles après une intrusion dans son système d’information. L’incident a été détecté le 24 juillet 2026 et concerne environ 7 500 personnes.
Dans une notification datée du 17 août 2026, l’IRD précise qu’une intrusion d’origine externe a conduit à l’exposition de données particulièrement sensibles. L’organisme indique toutefois ne pas être en mesure, à ce stade, de confirmer que ces informations ont effectivement été exfiltrées.
L’IRD, un organisme public français de recherche
L’Institut de recherche pour le développement est un établissement public français consacré à la recherche scientifique et au développement durable, notamment en partenariat avec des pays du Sud. Son siège est situé à Marseille.
Une intrusion détectée le 24 juillet
Selon l’IRD, l’incident résulte d’une intrusion extérieure dans son système d’information. Après sa découverte le 24 juillet, plusieurs investigations ont été engagées afin d’en déterminer l’origine et les conséquences.
Le 6 août, ces analyses ont permis d’établir l’existence d’un risque pour la confidentialité des données et ont conduit l’organisme à qualifier l’événement de violation de données personnelles.
État civil, données professionnelles et numéro de sécurité sociale exposés
Les informations susceptibles d’avoir été exposées couvrent un périmètre particulièrement large :
- nom, prénom, sexe et nationalité ;
- date et lieu de naissance ;
- adresse postale et numéro de téléphone personnels ;
- matricule d’agent et différentes informations administratives ;
- affectation géographique, statut, corps, grade, poste, niveau et échelon ;
- emploi et discipline ;
- adresse e-mail professionnelle et numéro de téléphone professionnel ;
- numéro de sécurité sociale.
La combinaison de ces informations permet de constituer des profils très complets, mêlant identité, coordonnées personnelles, situation professionnelle et identifiant social.
Un risque d’usurpation d’identité et de fraude
L’IRD estime que l’incident peut notamment entraîner des risques de piratage de compte, d’usurpation d’identité ou de fraude. La présence du numéro de sécurité sociale augmente sensiblement la valeur des données pour des fraudeurs cherchant à constituer de faux dossiers ou à se faire passer pour une victime.
Les données professionnelles peuvent également faciliter des campagnes de phishing ciblées en permettant de connaître précisément le poste, l’affectation ou la fonction d’un agent.
7 500 personnes concernées, mais aucune exfiltration confirmée
L’IRD indique que l’exposition concerne environ 7 500 personnes. Un point reste cependant essentiel : l’organisme précise qu’il n’est pas en mesure de confirmer que les données ont été effectivement copiées ou exfiltrées par l’attaquant.
Il s’agit donc à ce stade d’une exposition avérée à la suite d’un accès non autorisé, avec un risque sur la confidentialité, mais pas d’une confirmation de vol de l’ensemble des informations concernées.
Plainte, notification à la CNIL et serveurs isolés
L’IRD indique avoir signalé l’incident aux autorités compétentes, avec notamment le dépôt d’une plainte auprès du commissariat de police et une notification à la CNIL.
Une cellule de crise dédiée a également été mise en place et les serveurs informatiques concernés ont été isolés afin de limiter les risques. Les services sont depuis rétablis progressivement.