De grandes universités françaises piratées : Lyon, Montpellier, Le Havre, Jussieu, Poitiers...

La rédaction de zataz.com a pu entrer en contact avec l’internaute et tenter de comprendre ses motivations : “Je peux vous dire, possible étudiants dans une université française, vos données sont à l’air libre, accessible au premier crétin capable d’utiliser des logiciels de piratage“. Ses preuves ? En quelques jours, l’hacktiviste, qui semble vouloir dénoncer un laxisme au sein des universités françaises dès qu’il s’agit d’informatique et de données privées, a piraté Lyon 1, Lyon 2, L’université du Havre, de Montpellier 1, Paris Diderot, Jussieu ou encore Poitiers. [...]

Dans cette opération que The Destroyer a baptisé “Pwning French Education“, l’homme modifie les espaces qu’il a visité et diffuse, ce qui est plus regrettable, les informations qu’il a pu trouver sur les serveurs : mots de passe, bases de données[...] A première vue, The Destroyer est la partie visible d’un iceberg inquiétant. Par exemple, en ce qui concerne l’université du Havre, une pharmacie pirate avait installé ses pilules de cialis et autre viagra dans les murs numériques de l’école bien avant le passage du pirate francophone. [...] Même sanction pour le site du Laboratoire Montpelliérain d’Economie Théorique et Appliquée “et presque tous ses sous domaines” comme celui du Laboratoire d´Economie Expérimentale de Montpellier ou le site de gestion des expériences du LEEM. Inquiétant ? [...] les attaques concernaient aussi le site du Département des Ressources Informatiques de Montpellier2. “Le plus drôle, termine le pirate, le cas d’un sous domaine d’univ-paris-diderot.fr, et son petit login.txt à la racine avec les identifiants de connexion de l’admin spip“.

Les failles, corrigées depuis le passage du pirate, était pourtant connue depuis longue date. Elle aurait pu permettre de récupérer absolument toutes les données personnelle stockées sur les serveurs, aussi bien celles des étudiants que celles du personnel. TheDestroyer indique ne pas avoir copié les données. “Mon but n’est pas de donner des informations aux pirates effectuant du phishing, mais de faire comprendre aux administrateurs systèmes de l’Education Nationale l’importance de la relecture du code existant et des mises a jour des CMS tel que spip“.

Bref, si le piratage comme moyen de protestation n’est pas la meilleure idée du monde, l’auteur risque tout de même 5 ans de prison et plusieurs dizaines de milliers d’euros d’amende, il aura eu le mérite de montrer que la sécurisation des données des étudiants est loin d’être la priorité de certaines écoles ; que la mise à jour de CMS tel que SPIP ne devrait pas être qu’une note de service signée du CERT France.

Damien Bancal