Que s'est-il passé ?
L'université Ludwig-Maximilian (LMU) de Munich a été victime d'une cyberattaque au cours de laquelle des données personnelles d'étudiants ont été dérobées. Selon ses propres déclarations, des « données de base relatives aux inscriptions » ont été copiées. L'université n'a pas précisé le nombre exact de jeux de données concernés. Environ 52 000 personnes sont actuellement inscrites à la LMU.
Selon un reportage de la Bayerischer Rundfunk (BR), l'attaque a été découverte mercredi de cette semaine. Les détails concernant le vecteur exact de l'attaque et la durée de l'accès non détecté ne sont pas encore connus.
Les détails
Selon la LMU, des jeux de données complets relatifs aux inscriptions auraient été copiés depuis les systèmes de l'université. Cela comprend notamment :
- Nom, dates de naissance et adresses
- Coordonnées e-mail
- Données bancaires telles que l'IBAN et le titulaire du compte
- Numéros BAföG (aide financière aux études)
- Informations relatives à l'assurance maladie
Selon l'université, les systèmes concernés ont été déconnectés du réseau et isolés. La surveillance de sécurité a également été renforcée et une enquête judiciaire a été lancée. Selon la BR, l'Office central de police criminelle de Bavière (LKA) mène désormais également une enquête.
La LMU prévoit de reprendre prochainement les inscriptions pour le semestre d'hiver, qui débute le 12 octobre ; les délais correspondants devraient être prolongés. L'université assure que les étudiants ne subiront « aucun désavantage pour leurs études ».
Selon les informations actuelles de la LMU, il ne s'agirait pas d'une attaque classique par rançongiciel (ransomware). Il n'y aurait « aucun indice que l'attaquant ait publié, ait l'intention de publier ou utilise de manière abusive les données obtenues ». Des spécialistes seraient par ailleurs chargés de surveiller les portails pertinents du darknet.
Analyse
Cet incident montre une fois de plus à quel point les systèmes informatiques des universités constituent des cibles attrayantes pour les attaquants : les universités gèrent de grandes quantités de données personnelles hautement sensibles, souvent via des environnements informatiques complexes qui ont évolué au fil du temps, avec de nombreuses interfaces et systèmes hérités. Les données d'inscription sont particulièrement critiques, car elles comprennent, outre les données de base classiques, des informations financières telles que les coordonnées bancaires.
La combinaison des données dérobées est particulièrement préoccupante : avec les noms, dates de naissance, adresses, coordonnées bancaires et informations d'assurance, les attaquants disposent de presque tout ce qui est nécessaire pour commettre une usurpation d'identité ou des escroqueries ciblées. Même si la LMU n'envisage actuellement aucune publication ou utilisation abusive des données, le risque de phishing ciblé demeure. Le scénario précis de l'attaque n'est pas explicitement qualifié de phishing par l'université, mais le risque d'attaques consécutives de ce type est évident compte tenu du volume de données dérobées : des criminels pourraient, en connaissant le parcours académique des victimes, gagner leur confiance de manière ciblée.
Conseils pratiques
Pour les personnes concernées et les membres de l'université, plusieurs recommandations découlent de cet incident :
- Faire preuve d'une vigilance accrue face aux e-mails ou appels téléphoniques faisant référence aux études – en particulier lorsque des données bancaires ou d'identification sont demandées.
- Ne jamais communiquer de données bancaires ou de mots de passe sur simple demande, même si le contact semble digne de confiance et que des données personnelles correctes sont mentionnées.
- Examiner attentivement les mouvements et relevés de compte dans les semaines et mois à venir.
- Suivre les communications officielles de la LMU concernant cet incident, car d'autres informations sur l'ampleur et le déroulement de l'attaque pourraient encore être publiées.
- Signaler toute tentative de contact suspecte à l'université ou aux autorités d'enquête.
Perspectives
L'enquête judiciaire de la LMU ainsi que les investigations de l'Office central de police criminelle de Bavière se poursuivent. À ce jour, ni la voie exacte de l'attaque ni la durée de l'accès non détecté ne sont connues. Il reste à voir quels autres détails l'université publiera dans les prochains jours – notamment concernant le nombre exact de personnes concernées ou l'origine de l'attaque.
Pour les inscriptions au semestre d'hiver, la LMU a déjà tiré les conséquences de cet incident et a annoncé une prolongation des délais, afin de ne pas pénaliser les étudiants malgré l'isolement des systèmes. Cette affaire devrait également relancer le débat sur la sécurité informatique dans les universités allemandes, dont les systèmes doivent souvent être protégés avec des ressources limitées face à des attaques de plus en plus professionnelles.
