DOJ : 17 hackers iraniens inculpés pour vol de 31 To académiques

Le DOJ frappe l'Institut Mabna : 17 inculpations pour la plus vaste campagne de vol académique documentée

Le département de Justice des États-Unis a annoncé le 20 août 2026 l'inculpation de 17 ressortissants iraniens pour leur participation à une vaste campagne de cybercriminalité conduite au profit des Gardiens de la Révolution islamique (IRGC). Cette opération, l'une des plus importantes jamais documentées en matière de cybercriminalité parrainée par un État, a permis le vol de plus de 31 téraoctets de données académiques et de propriété intellectuelle en un peu plus d'une décennie d'activité systématique et méthodique.

Les faits reprochés remontent à 2013. Cette année-là, les membres présumés de l'Institut Mabna, une société de façade iranienne travaillant pour le compte de l'IRGC et d'autres entités gouvernementales iraniennes, ont commencé à cibler méthodiquement les comptes de professeurs et de chercheurs dans les universités du monde entier. La méthode employée était à la fois simple et redoutablement efficace : des campagnes de spear-phishing personnalisées, ciblant les adresses e-mail professionnelles des académiciens, conçues pour dérober leurs identifiants de connexion aux portails universitaires et aux bases de données de recherche auxquelles leurs institutions sont abonnées.

L'ampleur de la compromission documentée dans l'acte d'accusation est saisissante. Selon les procureurs du district sud de New York, plus de 100 000 comptes de professeurs ont été ciblés à travers le monde sur la durée de la campagne. Environ 8 000 d'entre eux ont été effectivement compromis avec succès. Les attaquants ont ensuite exploité ces accès pour télécharger massivement des articles de recherche, des thèses, des données d'expériences, des brevets en cours de développement et d'autres travaux académiques protégés, accessibles via les abonnements institutionnels des universités à des bases de données scientifiques reconnues. Le volume total soustrait dépasse les 31 téraoctets, un chiffre qui témoigne de la nature industrielle de l'opération.

Les cibles géographiques reflètent la portée mondiale de l'opération sur plus d'une décennie. Aux États-Unis, 144 universités ont été touchées, parmi lesquelles figurent des établissements d'élite dont certains des meilleurs centres de recherche mondiaux en physique, ingénierie, biologie et informatique. À l'international, 178 établissements répartis dans 21 pays ont également été victimes de cette campagne systématique, dont des universités françaises, britanniques, allemandes, canadiennes, australiennes et israéliennes. La France figure ainsi parmi les pays dont les institutions académiques ont été ciblées par les opérateurs de l'Institut Mabna.

Mais les universités n'étaient pas les seules cibles de l'opération. L'acte d'accusation révèle que plusieurs des prévenus ont également conduit des intrusions contre des entreprises privées et des agences gouvernementales américaines. Au moins 42 entreprises privées américaines et 11 entreprises étrangères ont été compromises. Plus préoccupant encore, cinq agences fédérales et agences d'État, ainsi que deux organisations non gouvernementales, ont été ciblées avec succès. Le département du Travail américain (DOL) et la Commission fédérale de régulation de l'énergie (FERC) figurent explicitement parmi les victimes institutionnelles. Les coûts de remédiation engagés par l'ensemble des victimes dépassent collectivement 20 millions de dollars selon les estimations des procureurs fédéraux.

L'inculpation du 20 août 2026 ajoute huit nouveaux noms à la liste des mis en examen. Le district sud de New York avait déjà inculpé neuf membres présumés de l'Institut Mabna en 2018, dans le cadre d'une procédure distincte qui avait fait grand bruit à l'époque et marqué l'un des premiers actes d'accusation fédéraux majeurs contre une entité de cyber-espionnage iranienne. Cette continuité procédurale sur huit ans illustre la stratégie judiciaire américaine d'accumulation de chefs d'accusation contre les acteurs du cybercrime étatique, même lorsque ces derniers se trouvent hors d'atteinte physique immédiate des autorités américaines.

Les qualifications retenues dans l'acte d'accusation sont lourdes et variées : complot en vue de commettre des fraudes informatiques, accès non autorisé à des ordinateurs protégés au sens du Computer Fraud and Abuse Act, fraude électronique, vol d'identité aggravé et blanchiment de capitaux. Les peines encourues peuvent atteindre plusieurs dizaines d'années d'emprisonnement cumulées. Des sanctions économiques ont également été prononcées contre plusieurs des personnes inculpées, en coordination avec l'Office of Foreign Assets Control (OFAC) du Trésor américain, les plaçant sur des listes de sanctions internationales.

L'Institut Mabna se distinguait par son modèle opérationnel hybride et lucratif sur deux marchés distincts. Une partie de son activité consistait à revendre les accès et les données volées à des universités et institutions de recherche iraniennes soumises aux sanctions internationales et privées d'accès légal aux bases de données académiques mondiales. Une autre partie était consacrée à livrer des renseignements de valeur stratégique directement aux services de l'IRGC. Ce double marché rentable explique la durée exceptionnelle de l'opération — plus de treize ans — et la persistance des attaquants à maintenir leur présence dans les systèmes compromis malgré les premières inculpations de 2018.

Cybercrime universitaire et géopolitique : quand les sanctions deviennent un moteur d'espionnage

L'affaire Mabna s'inscrit dans un contexte géopolitique particulièrement tendu entre l'Iran et les États-Unis, caractérisé depuis une décennie par un recours croissant aux cyberopérations comme outil de politique étrangère et de contournement des régimes de sanctions. Les universités de recherche constituent des cibles privilégiées pour l'Iran précisément parce qu'elles concentrent des connaissances de pointe dans des domaines stratégiques — physique nucléaire, ingénierie aérospatiale, intelligence artificielle, biotechnologies, génie chimique — auxquels le pays ne peut accéder légalement en raison des embargos technologiques imposés par les États-Unis et leurs alliés. La cyberopération devient ainsi un mécanisme systématique de contournement des sanctions.

La nature même du vol mérite une mise en perspective qui dépasse la simple comptabilisation des téraoctets soustraits. Il ne s'agit pas uniquement de documents classifiés ou de secrets industriels au sens traditionnel du terme, mais de l'ensemble du corpus de recherche scientifique mondial, incluant des travaux publiés mais accessibles uniquement via des abonnements institutionnels coûteux. Les attaquants ont cherché à obtenir un accès massif et systématique à la recherche académique mondiale pour alimenter les programmes de R&D iraniens et réduire l'écart technologique imposé par les sanctions. La frontière entre espionnage industriel classique et vol de propriété intellectuelle à grande échelle s'estompe dans ce type d'opération parrainée par un État.

Pour les institutions universitaires françaises et européennes, cette affaire rappelle avec acuité la vulnérabilité particulière de leurs systèmes d'information face aux acteurs étatiques. Les universités disposent généralement de budgets cybersécurité limités, de systèmes d'information hétérogènes dont certains datent de plusieurs décennies, et d'une culture de l'ouverture académique qui entre structurellement en tension avec les exigences de la sécurité informatique. La mise en œuvre de la directive NIS2, qui étend ses obligations de sécurité à de nouveaux secteurs dont potentiellement certains établissements d'enseignement supérieur selon leur niveau de criticité nationale, offre un cadre législatif et technique pour adresser ces vulnérabilités de manière coordonnée à l'échelle européenne.

Sur le plan stratégique, l'efficacité réelle des inculpations à distance contre des ressortissants étrangers se trouvant dans des pays sans traité d'extradition avec les États-Unis est régulièrement remise en question par les observateurs. Les 17 prévenus de cette affaire ne seront vraisemblablement jamais extradés vers les États-Unis. Pourtant, la stratégie américaine de naming and shaming judiciaire poursuit plusieurs objectifs concrets et mesurables : documenter publiquement les méthodes des acteurs étatiques pour sensibiliser les victimes potentielles, contraindre les accusés dans leurs déplacements internationaux en risquant une arrestation dans des pays tiers coopérant avec la justice américaine, et envoyer un signal de dissuasion aux recruteurs, financeurs et facilitateurs potentiels.

Ce qu'il faut retenir

• 17 Iraniens liés à l'IRGC via l'Institut Mabna ont été inculpés pour le vol de 31 To de données dans 144 universités américaines et 178 étrangères (dont françaises) entre 2013 et 2026.
• La campagne ciblait également des agences fédérales américaines (DOL, FERC) et des entreprises privées, causant plus de 20 millions de dollars de coûts de remédiation.
• L'activation obligatoire du MFA sur les comptes académiques, la sensibilisation des chercheurs au spear-phishing, et la surveillance des accès anormaux aux bases de données institutionnelles sont les mesures préventives essentielles.