L'Université Vanderbilt confirme une cyberattaque après que le groupe BYOD revendique le vol d'un million de numéros de Sécurité sociale

L'Université Vanderbilt a confirmé le 9 novembre 2026 qu'elle répondait à un incident de cybersécurité actif touchant les appareils du campus, les systèmes et les services cloud, quelques heures après que le groupe de ransomware BYOD a publié une revendication affirmant avoir volé plus d'un million de numéros de Sécurité sociale, ainsi que des noms, des adresses e-mail, des numéros de téléphone et des dossiers d'étudiants, d'employés et de chercheurs de l'établissement basé à Nashville.

Cette révélation place Vanderbilt sur une liste croissante d'universités frappées par des groupes de ransomware à la recherche des vastes volumes de données personnelles et financières que les établissements d'enseignement accumulent via leurs systèmes d'aide financière, de paie, d'admissions et de subventions de recherche. Les réseaux universitaires sont par ailleurs notoirement difficiles à sécuriser : des milliers d'appareils personnels, des services informatiques décentralisés répartis entre unités académiques et des budgets limités pour les outils de sécurité d'entreprise font des campus une cible bien plus accessible que la plupart des entreprises.

Selon BleepingComputer, qui a examiné la photo d'une note de rançon affichée sur un écran connecté au réseau de Vanderbilt ainsi qu'une vidéo de machines infectées diffusant un message audio désignant les attaquants, la note — intitulée README_BYOD_31.txt — affirme que le groupe détient «l'intégralité de vos données, sauvegardes comprises», ainsi que des numéros de Sécurité sociale archivés, des dates de naissance, des adresses personnelles et des intitulés de postes pour les étudiants, le corps enseignant et le personnel. BleepingComputer a vérifié de manière indépendante que le lien intégré dans la note renvoie vers le site de fuite de BYOD sur le dark web.

Vanderbilt a demandé aux étudiants, enseignants et membres du personnel d'éteindre les appareils appartenant à l'université, de se déconnecter du Wi-Fi du campus et de surveiller toute activité suspecte, en précisant que toute personne constatant des signes de compromission ne doit pas tenter de résoudre le problème elle-même, mais doit éteindre l'appareil et contacter le service d'assistance informatique de l'université. L'établissement n'a pas confirmé que des données ont effectivement été volées, que des systèmes ont été chiffrés ou que BYOD est bien le groupe responsable — il a seulement décrit la situation comme un «incident de cybersécurité actif» faisant l'objet d'une enquête.

BYOD est une opération d'extorsion relativement récente, apparue pour la première fois en 2026, qui a bâti son court palmarès presque exclusivement autour de l'enseignement supérieur et de la santé. Elle a déjà revendiqué une attaque survenue en octobre contre le Health Sciences Center de l'Université du Nouveau-Mexique, qui aurait perturbé les opérations hospitalières, et recense plusieurs autres organisations sur son site de fuite aux côtés de Vanderbilt.

Si les allégations du groupe se confirment, Vanderbilt deviendrait l'une des plus importantes violations de données universitaires de l'année en volume de numéros de Sécurité sociale exposés, rejoignant ainsi de récents méga-incidents survenus dans d'autres universités américaines et départements étatiques de l'éducation. Pour les dizaines de milliers d'étudiants actuels, anciens élèves, enseignants et employés dont Vanderbilt conserve les dossiers, une fuite aussi riche en numéros de Sécurité sociale fait peser un risque accru de fraude fiscale et d'usurpation d'identité bien après le règlement de tout litige autour de la rançon — un risque qui persiste généralement quel que soit le choix de l'établissement de payer ou non. Les cabinets d'avocats spécialisés dans les recours collectifs agissent en général rapidement après ce type de divulgation, et Vanderbilt subira vraisemblablement des pressions pour proposer une surveillance du crédit une fois l'étendue des données dérobées confirmée.

Comme l'a rapporté BleepingComputer, Vanderbilt n'a pas encore indiqué à quelle date l'accès normal aux systèmes universitaires serait rétabli, ni si elle envisage d'informer directement les personnes concernées.