La boutique en ligne des Presses universitaires de Franche-Comté (PUFC) a été victime d’une cyberattaque particulièrement discrète. Un script malveillant capable d’intercepter les données de cartes bancaires saisies au moment du paiement a été découvert le 8 septembre 2026. Les premières investigations font remonter la période potentiellement concernée à la fin de l’année 2023.
Au total, 1 332 clients ayant effectué un achat depuis décembre 2023 sont actuellement contactés par l’Université Marie et Louis Pasteur. Aucun cas de fraude bancaire lié à l’incident n’a pour l’instant été signalé, mais les personnes concernées sont invitées à surveiller leurs comptes et, en cas de doute, à envisager le remplacement de leur carte bancaire.
La boutique des Presses universitaires de Franche-Comté ciblée
Les Presses universitaires de Franche-Comté constituent le service d’édition de l’Université Marie et Louis Pasteur à Besançon. Elles publient et diffusent des ouvrages scientifiques destinés aux chercheurs, enseignants, étudiants mais également au grand public, notamment à travers leur boutique en ligne.
C’est précisément cette boutique qui a été compromise. L’incident est, selon l’université, strictement limité au serveur web des PUFC. Les investigations réalisées jusqu’à présent n’ont identifié aucune compromission des autres services ou bases de données du système d’information universitaire.
L’attaque découverte grâce au CERT-Renater
L’Université Marie et Louis Pasteur indique avoir été alertée le 8 septembre 2026 par le CERT-Renater, l’équipe chargée notamment d’accompagner les établissements de l’enseignement supérieur et de la recherche face aux incidents de cybersécurité.
Après réception de cette alerte, les équipes de la Direction des systèmes d’information et de la cellule cyber ont isolé le serveur et interrompu l’accès public à la boutique afin d’empêcher toute nouvelle exfiltration potentielle.
Un dispositif de web skimming pour voler les cartes bancaires
L’analyse technique a mis en évidence un dispositif de type web skimming. Cette technique consiste à injecter du code malveillant dans les pages d’un site marchand afin de capturer les informations saisies directement par les clients, notamment lors du paiement.
Le principe est différent d’un vol classique de base de données. Les informations peuvent être interceptées au moment où l’utilisateur les saisit dans son navigateur, avant ou pendant leur transmission au prestataire de paiement.
Dans le cas des PUFC, le script était susceptible de récupérer les données de carte bancaire renseignées lors d’un achat. L’université ne précise pas à ce stade quelles informations exactes ont effectivement été interceptées ni combien de cartes ont réellement été récupérées par les attaquants.
Le malware pourrait être présent depuis fin 2023
C’est l’élément le plus préoccupant de l’incident. Les premières investigations techniques font remonter la période potentiellement compromise à la fin de l’année 2023. Le programme malveillant n’a pourtant été détecté qu’en septembre 2026.
Cette datation ne signifie pas nécessairement que des coordonnées bancaires ont été continuellement volées pendant près de trois ans. Les investigations se poursuivent afin de déterminer précisément la durée et l’étendue de la compromission.
Le scénario montre néanmoins l’une des principales difficultés du web skimming : le site peut continuer à fonctionner normalement tandis qu’un code ajouté discrètement collecte en arrière-plan les données saisies par certains utilisateurs.
1 332 acheteurs potentiellement concernés
L’université a identifié 1 332 personnes ayant réalisé un achat sur la boutique depuis décembre 2023. Toutes vont être contactées individuellement par mesure de précaution.
Ce chiffre ne signifie pas que les coordonnées bancaires de 1 332 personnes ont nécessairement été volées. Il correspond au périmètre de clients potentiellement exposés pendant la période suspecte, l’établissement n’étant pas encore en mesure d’identifier avec certitude quelles transactions ont pu être interceptées.
Aucune fraude bancaire signalée pour l’instant
À la date de la communication de l’université, aucune opération bancaire frauduleuse directement liée à la cyberattaque n’avait été portée à sa connaissance. Cela ne permet cependant pas d’exclure que certaines informations aient effectivement été récupérées.
Les clients ayant commandé sur la boutique depuis décembre 2023 sont donc invités à examiner leurs relevés bancaires et à signaler rapidement toute transaction qu’ils ne reconnaissent pas.
En cas de doute, l’Université Marie et Louis Pasteur recommande également de contacter sa banque afin d’évaluer la nécessité de faire remplacer la carte utilisée sur le site.
Une vulnérabilité du site à l’origine de la compromission
L’Université indique que l’incident trouve son origine dans l’exploitation d’une vulnérabilité applicative affectant spécifiquement la boutique des PUFC. Aucun détail technique supplémentaire n’est communiqué sur la faille utilisée ou sur le logiciel concerné.
L’objectif des attaquants semble en revanche beaucoup plus clair : réussir à modifier le fonctionnement de la boutique afin d’y placer un programme capable de surveiller les informations saisies par les acheteurs.
La CNIL et l’ANSSI informées
L’Université Marie et Louis Pasteur a procédé à une notification de violation de données auprès de la CNIL et a également informé l’ANSSI. Une plainte doit être déposée auprès des services de police de Besançon et le procureur de la République saisi.
La boutique reste pour l’instant fermée au public pendant la sécurisation de l’environnement. L’enquête technique devra surtout déterminer depuis quand le code était réellement actif, quelles données ont été récupérées et vers quelle infrastructure elles ont éventuellement été envoyées.
Une attaque particulièrement difficile à détecter
Contrairement à un ransomware qui rend immédiatement les systèmes indisponibles, une attaque de web skimming a tout intérêt à rester invisible le plus longtemps possible. Plus le site continue à accepter des commandes, plus le dispositif peut potentiellement collecter de nouvelles informations.
Dans le cas des Presses universitaires de Franche-Comté, le fait que la période potentiellement concernée remonte à la fin 2023 montre surtout qu’une compromission peut rester présente pendant une très longue période sans perturber visiblement le fonctionnement du service.