Le 31 octobre 2026, un rançongiciel a touché toute l’infrastructure informatique de l’école d’ingénieurs ISAE-Supméca. Cette analyse s’adresse aux auditeurs, RSSI et responsables sécurité. Rien n’est public sur la porte d’entrée ni sur le déroulé technique : nous nous limitons à ce que l’établissement a communiqué, à notre lecture prudente, et surtout à la réponse à incident, qui est la partie documentée.
Pour une lecture orientée dirigeant, voir notre décryptage « Rançongiciel dans une école d’ingénieurs : tout s’arrête un samedi, et la préparation fait la différence ».
Contexte
- Victime : ISAE-Supméca, école publique d’ingénieurs en mécanique et ingénierie numérique, Saint-Ouen-sur-Seine (Seine-Saint-Denis). Incident confirmé par l’établissement.
- Chronologie : samedi 31 octobre 2026, attaque (veille de la Toussaint) ; lundi 2 novembre, dépôt de plainte ; jeudi 5 novembre, rétablissement de la messagerie et du site, et publication du communiqué (qui écrit « 5 octobre », coquille manifeste au vu de sa date de publication).
- Périmètre : « l’ensemble de l’infrastructure informatique » selon l’établissement.
- Revendication : par un groupe de rançongiciel que l’école ne nomme pas. Nous ne reprenons pas de nom non confirmé.
- Réponse : dispositifs de réponse à incident activés dès la détection ; cellule de crise (direction, direction générale des services, DSI, responsables des services supports) qui arbitre en suivant les préconisations de l’ANSSI ; tutelles prévenues ; plainte ; déclaration à la CNIL ; enquête annoncée.
- Sources : ISAE-Supméca, communiqué du 5 novembre 2026 ; Cyberattaque.org, 6 novembre 2026.
Mode opératoire : ce qui est documenté et ce qui ne l’est pas
| Étape | Ce qui est rapporté | Correspondance MITRE ATT&CK (notre lecture) |
|---|---|---|
| Accès initial | Non publié. L’ANSSI accompagne l’école pour identifier les failles exploitées. | Non déterminable. Les vecteurs fréquents des rançongiciels (T1133 External Remote Services, T1190 Exploit Public-Facing Application, T1078 Valid Accounts) restent des hypothèses que nous ne retenons pas. |
| Élévation et propagation | L’ensemble de l’infrastructure est touché. | Non documenté. Une telle étendue suppose en général des privilèges élevés sur l’annuaire ou l’hyperviseur, sans confirmation ici. |
| Impact | Chiffrement par rançongiciel ; messagerie et site indisponibles plusieurs jours. | T1486 Data Encrypted for Impact. Cause exacte de l’indisponibilité (chiffrement ou coupure défensive) non précisée. |
| Extorsion | Revendication par un groupe de rançongiciel. | Double extorsion possible mais non confirmée : aucune exfiltration (T1567, T1041) n’est établie publiquement. |
| Réponse | Cellule de crise, ANSSI, plainte à J+2, CNIL, reprise par priorités (messagerie et site d’abord). | – |
Faits techniques connus
- Déclenchement un samedi de pont, schéma courant des opérateurs de rançongiciel pour profiter d’une moindre surveillance.
- Atteinte de l’ensemble du système d’information, et non d’un serveur isolé.
- Reprise progressive en commençant par les services de communication externe.
Ce qu’on ne sait pas
- Le vecteur d’accès initial et la date d’intrusion (durée de présence avant chiffrement).
- Le groupe en cause et son mode opératoire habituel.
- L’état des sauvegardes et la stratégie de reconstruction.
- L’existence et le volume d’une exfiltration, et la nature des données concernées (élèves, personnels, recherche).
Détection : peu d’éléments, un contexte défavorable
Le communiqué indique seulement que la réponse a été lancée dès la détection, sans préciser quand ni par quel moyen l’attaque a été vue. Le calendrier (samedi, veille de jour férié) réduit mécaniquement la capacité de réaction si aucune surveillance n’est assurée en dehors des heures ouvrées. Faute d’information sur la phase précédant le chiffrement (reconnaissance, collecte d’identifiants, désactivation des protections, suppression des sauvegardes), on ne peut pas dire si des signaux ont été manqués. Pour l’auditeur, la question utile n’est pas « l’outil a-t-il vu l’attaque ? » mais « qui reçoit l’alerte un samedi à 23 h, et que fait-il ? ».
Questions d’audit ISO 27001:2022
- A.5.24, A.5.25, A.5.26 (planification, évaluation et réponse aux incidents) : la procédure de gestion de crise cyber précise-t-elle la composition de la cellule, les critères de déclenchement, l’autorité qui décide de couper le réseau, et son fonctionnement hors heures ouvrées ? Preuve attendue : compte rendu du dernier exercice.
- A.5.29, A.5.30 (continuité et préparation des TIC) : un ordre de reprise des services est-il défini, avec des délais cibles, et existe-t-il un moyen de communication indépendant du système d’information (annuaire hors ligne, messagerie de secours) ?
- A.8.13 (sauvegarde des informations) : une copie est-elle isolée ou hors ligne, protégée contre la suppression par un compte administrateur compromis ? Une restauration complète d’un périmètre significatif a-t-elle été testée, avec un temps mesuré ?
- A.5.5, A.5.6, A.5.34 et A.8.15 (contacts avec les autorités et groupes spécialisés, vie privée, journalisation) : la liste des contacts de crise (CERT ou prestataire de réponse, ANSSI pour les entités concernées, assureur, forces de l’ordre, CNIL sous 72 heures) est-elle tenue à jour et accessible hors ligne ? Les journaux sont-ils conservés hors du périmètre chiffrable, pour permettre l’investigation ?
Pistes de sensibilisation
- Exercice de table pour la direction et la DSI : « Samedi 23 h, plus rien ne répond ». Dérouler les douze premières heures : alerte, décision d’isolement, appels, communication interne et externe, démarches (plainte, CNIL). Support : la fiche réflexe rançongiciel de Cybermalveillance.gouv.fr.
- Pour tous les utilisateurs : un geste unique à retenir. Devant une demande de rançon ou des fichiers renommés, débrancher le poste du réseau sans l’éteindre, puis prévenir le contact désigné.
À lire aussi : notre décryptage pour les dirigeants et notre bulletin de veille du 8 novembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.