Booba Project frappe l'UIC College of Medicine : 344 Go

Les faits

Le 2 octobre 2026, le groupe ransomware Booba Project a revendiqué sur son site de fuite une attaque contre l'Université d'Illinois Chicago (UIC), ciblant spécifiquement son College of Medicine. Le groupe affirme avoir exfiltré 344 gigaoctets de données sensibles et menace de les publier en l'absence de négociation. L'UIC a confirmé l'incident dans un communiqué officiel, indiquant qu'un accès non autorisé à certains systèmes de l'école de médecine avait perturbé leur fonctionnement, sans attribuer publiquement l'attaque au groupe Booba Project.

Selon les investigations de plusieurs firmes de cyber-threat intelligence, Booba Project est une souche ransomware apparue pour la première fois fin juillet 2026. Les chercheurs estiment avec une confiance modérée à élevée qu'il s'agit d'une opération antérieure connue sous le nom de Frag, rebaptisée après les pressions des forces de l'ordre. Cette hypothèse est supportée par des similitudes dans le code de chiffrement, les mécanismes de communication et les méthodes d'extorsion double (chiffrement + exfiltration) observées dans les deux campagnes.

Techniquement, Booba Project déploie des variantes pour Windows et Linux, ciblant les environnements mixtes typiques du secteur médical et hospitalier. Les fichiers chiffrés reçoivent l'extension .booba. La demande de rançon n'a pas été rendue publique, mais les groupes issus de l'écosystème Frag ont historiquement demandé entre 500 000 et 5 millions de dollars selon la taille de l'organisation victime et la sensibilité des données exfiltrées.

L'UIC College of Medicine est l'une des plus grandes écoles de médecine des États-Unis, formant chaque année plusieurs centaines de praticiens et conduisant des recherches médicales de premier plan. Les données potentiellement exposées incluent des dossiers médicaux de patients, des données de recherche clinique, des informations personnelles d'étudiants et de personnel, ainsi que des propriétés intellectuelles liées à des projets financés par des fonds fédéraux — NIH (National Institutes of Health) et NSF (National Science Foundation) notamment.

L'UIC affirme que les soins aux patients n'ont pas été interrompus et que les systèmes affectés ont été progressivement restaurés. Une enquête forensique est en cours pour déterminer précisément l'étendue des données compromises. La loi américaine HIPAA (Health Insurance Portability and Accountability Act) impose à l'établissement de notifier les patients concernés dans les 60 jours suivant la découverte si des données de santé protégées (PHI — Protected Health Information) ont été exposées.

Cette attaque s'inscrit dans une tendance lourde documentée par plusieurs rapports 2026 : le secteur de la santé représente désormais la première cible des groupes ransomware, dépassant le secteur financier pour la première fois selon le rapport Verizon DBIR 2026. Les établissements médicaux cumulent des vulnérabilités structurelles — systèmes legacy non patchés, budgets cybersécurité insuffisants, forte dépendance à la disponibilité des données — qui en font des cibles à fort taux de paiement de rançon.

Booba Project est apparu dans une période où plusieurs groupes ransomware majeurs ont connu des perturbations opérationnelles : ALPHV/BlackCat démantelé en décembre 2023, LockBit perturbé par l'opération Cronos en février 2024, REVIL inactif depuis 2022. Ces démantèlements ont conduit à une fragmentation et un rebaptême fréquent des opérations, rendant le tracking des groupes plus complexe pour les équipes de threat intelligence. Frag lui-même a été identifié en 2025 comme héritier partiel de l'écosystème ALPHV.

Pour le secteur médical français, cette attaque américaine résonne particulièrement. Le CERT Santé (rattaché à l'ANS — Agence du Numérique en Santé) a émis un avis de vigilance en septembre 2026 après plusieurs incidents touchant des CHU et cliniques privées françaises. Les recommandations ANSSI sur la cybersécurité des établissements de santé, publiées en 2025, restent sous-appliquées dans une majorité de structures de moins de 500 lits — notamment sur les points de segmentation réseau et de gestion des accès aux systèmes d'information médicaux.

Impact et exposition

L'attaque affecte directement l'UIC College of Medicine et potentiellement les patients, chercheurs et personnels dont les données sont hébergées sur les systèmes compromis. Le volume de 344 Go non vérifié indépendamment constitue un signal d'alarme pour l'ensemble du secteur médical académique. Les établissements utilisant des systèmes similaires (Epic, Oracle Health, infrastructures VMware vSphere) doivent auditer leurs capacités de détection des comportements d'exfiltration volume caractéristiques des ransomwares à double extorsion.

Recommandations

• Auditer l'accès aux systèmes EHR (Electronic Health Records) et identifier toute activité anormale d'exfiltration en volume
• Vérifier les sauvegardes hors-ligne et leur intégrité — les groupes ransomware ciblent prioritairement les sauvegardes connectées
• Renforcer la segmentation réseau entre systèmes médicaux, administratifs et de recherche
• Former les équipes médicales et administratives à la détection des vecteurs d'entrée courants : phishing, RDP exposé, VPN non patchés
• Préparer un plan de réponse à incident incluant les obligations HIPAA (UE : RGPD Art.33-34) de notification en cas de compromission de données de santé