Le samedi 31 octobre, un rançongiciel a touché toute l’informatique de l’école d’ingénieurs ISAE-Supméca, à Saint-Ouen. Cinq jours plus tard, la messagerie et le site étaient rétablis et les cours continuaient. On ne sait pas encore comment les attaquants sont entrés, mais la réaction de l’école donne une bonne grille de lecture pour toute PME.
Ce qui s’est passé
Dans un communiqué publié le 5 novembre, ISAE-Supméca indique avoir été victime, le 31 octobre, d’une attaque par rançongiciel : un programme qui chiffre les fichiers et les serveurs pour les rendre inutilisables, puis réclame une rançon. Selon l’école, l’ensemble de son infrastructure informatique a été touché. L’attaque a été revendiquée par un groupe spécialisé, que l’école ne nomme pas (ISAE-Supméca, 5 novembre 2026).
La messagerie et le site ont été rétablis le 5 novembre. Les enseignements sont maintenus, adaptés à la situation, et certains services peuvent encore connaître des perturbations (Cyberattaque.org, 6 novembre 2026).
Comment l’attaque a fonctionné
Le communiqué ne dit rien de la porte d’entrée. Ce que l’on sait tient en deux points. D’abord, l’attaque a frappé un samedi, veille de la Toussaint : c’est un choix fréquent des groupes de rançongiciel, qui lancent le chiffrement quand les équipes sont absentes. Ensuite, toute l’infrastructure a été touchée, ce qui laisse penser que les attaquants avaient obtenu des droits très étendus avant de déclencher le chiffrement.
En revanche, la réponse de l’école est bien documentée :
- une cellule de crise activée dès la détection, avec la direction, les services informatiques et les services supports ;
- l’ANSSI saisie pour aider à trouver la faille et à reconstruire ;
- une plainte déposée dès le lundi 2 novembre, et une déclaration à la CNIL ;
- une reprise par priorités : d’abord la messagerie et le site, pour que l’école puisse de nouveau être jointe.
Ce qu’on ne sait pas encore
Le chemin d’entrée des attaquants, le nom du groupe, la date à laquelle ils sont entrés, l’existence d’un vol de données et le montant d’une éventuelle rançon n’ont pas été rendus publics. À ce stade, aucun vol de données personnelles ou de documents de recherche n’a été confirmé par l’école.
Ce que ça change pour une PME
- Écrivez votre fiche de crise sur une page, et imprimez-la. Qui décide de couper le réseau, qui appeler (prestataire informatique, assureur, dispositif 17Cyber de Cybermalveillance.gouv.fr), comment joindre les salariés si la messagerie ne marche plus.
- Gardez une sauvegarde hors d’atteinte. Au moins une copie débranchée ou isolée, que l’attaquant ne peut pas chiffrer, et une restauration testée de temps en temps, pas seulement de quelques fichiers.
- Décidez à l’avance de l’ordre de reprise. Messagerie, facturation, production, site : savoir ce qui redémarre en premier évite des débats en pleine crise.
- Connaissez les démarches. Plainte, et notification à la CNIL sous 72 heures si des données personnelles sont touchées. La fiche réflexe rançongiciel de Cybermalveillance.gouv.fr détaille les premiers gestes.
Le regard de l’auditeur
Quatre questions à vous poser, ou à poser à votre prestataire. Elles s’inspirent de ce que vérifie un auditeur ISO 27001 :
- Avons-nous une organisation de crise écrite, avec des rôles clairs, qui fonctionne aussi un samedi soir, et l’avons-nous déjà testée ?
- Savons-nous dans quel ordre redémarrer nos services, et comment communiquer si la messagerie est hors service ?
- Avons-nous une sauvegarde que l’attaquant ne peut pas atteindre, et avons-nous déjà réussi une restauration complète ?
- Qui est prévenu en cas d’attaque (prestataire, assureur, forces de l’ordre, CNIL), et cette liste est-elle accessible sans ordinateur ?
Pour les pros : notre analyse technique (mode opératoire, MITRE ATT&CK, questions d’audit ISO 27001).
Dossier : Rançongiciels et gestion de crise
Cet article prolonge notre bulletin de veille du 8 novembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.