Les personnels d'INRAE pourraient être concernés par une fuite de données, non confirmée à ce stade. Une page de défiguration a remplacé le 3 novembre 2026 un site de l'institut, et une revendication affirme qu'environ 1,2 Go de données auraient été copiés. L'institut n'avait publié aucun communiqué sur sa page presse au 4 novembre 2026 au sujet de ce piratage présumé.
Page de défiguration servie à l'adresse base-pcb.inrae.fr, mise en ligne le 3 novembre 2026.
Ce qui a été constaté sur le site d'INRAE
INRAE, l'Institut national de recherche pour l'agriculture, l'alimentation et l'environnement, est un établissement public de recherche. Il est né en 2020 de la fusion de l'Inra et d'Irstea. Son site base-pcb.inrae.fr proposait en avril 2026 l'export d'une base scientifique sur les micropolluants dans les poissons et les sédiments.
Le 3 novembre 2026, une page de défiguration a pris la place de ce site. Cette page est le seul élément constaté à ce stade. Le reste de l'annonce, qui porte sur des données copiées, n'a pas été vérifié.
Ce que contiendraient les données annoncées chez INRAE
D'après cette annonce, 9 bases de données auraient été copiées, avec des archives de serveur et du code source. L'ensemble représenterait environ 1,2 Go.
Ces données comprendraient des comptes de personnels et d'administrateurs, ainsi que des adresses e-mail professionnelles. Elles comprendraient aussi des mots de passe hachés, c'est-à-dire conservés sous une forme transformée et non en clair.
L'origine de ces données n'est pas établie, pas plus que le nombre de personnes concernées.
Pourquoi ces comptes seraient sensibles
Si ces éléments se vérifiaient, des noms associés à des adresses professionnelles permettraient d'adresser à des personnels de recherche des messages frauduleux crédibles, en se présentant par exemple comme un service de l'institut.
Des mots de passe hachés peuvent aussi être retrouvés lorsqu'ils sont trop simples. Ils deviendraient alors exploitables sur tout autre service où le même mot de passe aurait été réutilisé. Enfin, un compte d'administrateur donne par nature des droits étendus sur les outils auxquels il est rattaché.
Données concernées :
- Noms et identifiants de comptes (annoncés, non vérifiés)
- Adresses e-mail professionnelles (annoncées, non vérifiées)
- Mots de passe hachés (annoncés, non vérifiés)
- Rôles d'accès et comptes d'administrateurs (annoncés, non vérifiés)
- Données professionnelles liées aux comptes de personnels (annoncées, non vérifiées)
Mentions :
Statut Fuites Infos : Revendiquée