L’IRD confirme un piratage, les données de 7 500 personnes exposées

L’Institut de recherche pour le développement (IRD) a annoncé ce mardi 18 aout à son personnel, via une lettre en PDF que Next a pu se procurer, qu’une « intrusion d’origine externe dans son système d’information » a eu lieu cet été. Ce piratage a conduit, selon la PDG de l’institut, Valérie Verdier, qui signe ce courrier, « à l’exposition des données de 7 500 personnes ».

Ce chiffre est particulièrement frappant lorsqu’on le compare au nombre d’agents travaillant pour l’organisme. En effet, le rapport d’activité de l’IRD de 2025 publié en juin dernier indique que l’organisme compte 2 249 agents.

Dans ce courrier, la responsable fait la liste des données qui ont été exposées :

• « vos données d’identification : nom, prénom(s), sexe, nationalité, date et lieu de naissance ;
• vos données relatives à la vie personnelle : adresse postale et numéro de téléphone personnels ;
• vos données relatives à la vie professionnelle : matricule agent, rattachement administratif, affectation géographique, statut, corps, grade, poste, niveau, échelon, emploi, discipline, adresse
  électronique professionnelle, numéro de téléphone pofessionnel ;
• votre numéro de sécurité sociale ».

Toujours selon le document, l’incident aurait été détecté par l’IRD le 24 juillet. C’est le 6 aout que l’enquête menée en interne a permis d’établir que ces données ont été exposées. Néanmoins, « à ce stade, nous ne sommes pas en mesure de confirmer que ces données aient été exfiltrées », précise la lettre.

Valérie Verdier ajoute que son organisme de recherche a « immédiatement engagé des investigations afin d’en déterminer l’origine, l’étendue et les conséquences. Elle assure que « les mesures nécessaires pour contenir l’incident, sécuriser les systèmes concernés et rétablir progressivement les services ont été appliquées depuis cette date ».

La direction explique que la « situation est susceptible d’entraîner notamment des risques de piratage de compte, d’usurpation d’identité ou de fraude ».

Elle assure aussi avoir signalé l’incident aux autorités compétentes, porté plainte et mis en place une cellule de crise. De façon pratique, elle signale avoir mis à l’isolement des serveurs informatiques concernés afin de limiter les risques et travailler en coopération avec l’ANSSI, le CERT RENATER, le Centre opérationnel de la sécurité des systèmes d’information (COSSI) et le fonctionnaire de sécurité des systèmes d’information (FSSI).

L’IRD vient aussi de publier un communiqué plus succinct.

Ce n’est pas la première institution de recherche française à subir un incident de ce genre cette année. En effet, le CNRS a fait part en février dernier d’une fuite de données concernant les personnels recrutés avant le 1/1/2007.