Institut de recherche pour le développement : 7 500 agents et partenaires exposés

L’Institut de recherche pour le développement, établissement public placé sous la double tutelle des ministères chargés de la recherche et des affaires étrangères, a rendu publique le 18 août 2026 une intrusion détectée par son centre opérationnel de sécurité le 24 juillet. Les investigations menées ensuite ont établi, le 6 août, qu’un serveur affecté par l’incident exposait des données à caractère personnel, ce qui constitue une violation au sens du RGPD. La présidente-directrice générale de l’institut a chiffré à 7 500 le nombre de personnes concernées, agents comme partenaires et intervenants extérieurs.

Le périmètre couvre l’ensemble du dossier administratif type : identité complète avec sexe, nationalité, date et lieu de naissance, adresse postale et numéro de téléphone, auxquels s’ajoutent les éléments professionnels (matricule, statut, grade, rattachement) et le numéro de Sécurité sociale. L’institut précise qu’aucune coordonnée bancaire ni aucun mot de passe n’a été exposé.

La présence du NIR est ici encore le point le plus lourd de conséquences. Ce numéro ne peut pas être changé, il sert d’identifiant pivot dans de nombreuses démarches sociales, et associé à une identité complète il alimente durablement les tentatives d’usurpation. L’IRD indique par ailleurs que ses investigations ne permettent pas de confirmer une exfiltration effective des données : la qualification retenue est celle d’une atteinte à la confidentialité, c’est-à-dire d’un accès possible sans preuve de copie. Cette nuance n’allège pas les obligations d’information, mais elle explique l’absence de fichier en circulation à ce jour.

L’établissement a isolé les serveurs concernés, activé une cellule de crise, fait appel à un prestataire spécialisé et coopère avec l’ANSSI. Une plainte a été déposée et la CNIL notifiée. Cet incident s’ajoute à une série estivale particulièrement dense dans la sphère publique française, après la DGFiP, l’Éducation nationale, Santé publique France et Bloctel, avec un dénominateur commun qui revient d’un cas à l’autre : la compromission d’accès légitimes plutôt que l’exploitation d’une faille spectaculaire.