Comme le rapporte FrenchBreaches, le Conseil de l'Europe fait face à une crise cyber d'ampleur après la publication revendiquée de plus de 297 Go de données attribuées à l'institution par le groupe cybercriminel ShinyHunters. Selon les éléments revendiqués par les attaquants, les données publiées comprendraient plus de 429 000 fichiers, dont des documents de paie, des données RH, des CV, des dossiers internes du personnel ainsi que des informations bancaires, fiscales, sociales et médicales.

Le Conseil de l'Europe a indiqué enquêter sur ces revendications et évaluer la situation, sans confirmer publiquement l'authenticité complète ni le périmètre exact des données diffusées. Avant cette publication, ShinyHunters avait adressé ce qu'il présentait comme un dernier avertissement au Conseil de l'Europe, menaçant de publier les données revendiquées si l'institution ne prenait pas contact avant le 16 juin 2026 afin d'ouvrir des négociations.

Ce qu'il faut retenir

  • Le Conseil de l'Europe a confirmé avoir été victime d'un incident de cybersécurité.
  • ShinyHunters revendique la publication de plus de 297 Go de données.
  • Plus de 429 000 fichiers seraient concernés, dont des documents de paie, des données RH et des CV.
  • Les données couvriraient une période comprise entre 2011 et 2026.
  • Des informations RH, bancaires, fiscales, salariales, sociales et médicales figureraient dans les fichiers revendiqués.

Le contexte

Le Conseil de l'Europe est une organisation internationale basée à Strasbourg, fondée en 1949. L'institution rassemble 46 États membres et intervient notamment dans la défense des droits humains, la promotion de la démocratie, la protection de l'État de droit, la coopération juridique, les politiques sociales, les travaux parlementaires, la pharmacopée européenne, les services d'interprétation et de traduction.

Il ne doit pas être confondu avec l'Union européenne, même si plusieurs États membres appartiennent aux deux organisations. Le Conseil de l'Europe joue un rôle important dans la promotion des valeurs démocratiques et des droits de l'homme en Europe.

Les données concernées

Les fichiers revendiqués contiendraient plusieurs catégories de données particulièrement sensibles, notamment des données d'identité, des données RH, des données salariales et fiscales, des données bancaires, des données administratives internes. Ces données pourraient permettre la mise en œuvre de scénarios de fraude particulièrement crédibles, visant aussi bien des employés actuels que d'anciens collaborateurs, des candidats au recrutement ou des prestataires.

Les données relatives aux ressources humaines et à la paie figurent parmi les informations les plus recherchées par les cybercriminels. Contrairement à un simple fichier de contacts, elles permettent d'associer l'identité d'une personne, son poste, son ancienneté, son salaire, son adresse personnelle, ses coordonnées bancaires, ses informations fiscales, ses absences ou données médicales, son historique administratif, ses évaluations professionnelles.

Risques potentiels

Si les données revendiquées sont authentiques, elles pourraient être utilisées pour des campagnes de phishing ciblées, des tentatives d'usurpation d'identité, des fraudes bancaires, des escroqueries liées aux bulletins de salaire, des attaques d'ingénierie sociale, des demandes frauduleuses de changement de coordonnées bancaires, des compromissions de comptes professionnels, des tentatives de chantage, des fraudes fiscales ou administratives, l'exploitation d'informations médicales, la revente de données sur des forums spécialisés.

Les personnes potentiellement concernées pourraient inclure des employés actuels, d'anciens employés, des personnels permanents, des personnels temporaires, des interprètes, des candidats au recrutement, des prestataires, des consultants externes, des agents administratifs, des personnels liés à la paie, des personnels des ressources humaines, des collaborateurs des différentes directions citées dans les revendications.

Et maintenant ?

Les personnes susceptibles d'être concernées devraient faire preuve d'une vigilance renforcée face aux courriels évoquant leur salaire, leur contrat ou leurs documents RH, aux demandes de modification de coordonnées bancaires, aux appels ou messages prétendant provenir d'un service administratif, aux sollicitations liées aux remboursements, impôts ou cotisations sociales, aux pièces jointes inattendues, aux liens demandant une authentification professionnelle ou personnelle, aux demandes inhabituelles de transmission de documents administratifs.

Il est recommandé de vérifier systématiquement l'identité des interlocuteurs avant toute communication d'informations personnelles ou financières et de privilégier les canaux de contact habituels de l'institution. Les personnes susceptibles d'être concernées sont invitées à surveiller toute activité inhabituelle liée à leurs informations personnelles, professionnelles ou bancaires et à signaler rapidement toute tentative de phishing, d'usurpation d'identité ou de fraude utilisant des données issues des ressources humaines ou de la paie.

En conclusion, cette affaire s'inscrit dans une tendance plus large observée ces dernières années, où les groupes d'extorsion ne se limitent plus au chiffrement des systèmes compromis, mais privilégient désormais l'exfiltration puis la publication massive de données afin d'accroître la pression exercée sur leurs victimes. L'enjeu dépasse donc le seul Conseil de l'Europe et rappelle l'importance de sécuriser les environnements contenant des données RH, bancaires, fiscales et médicales particulièrement sensibles.