Norad dit que les noms et courriels de 20 614 utilisateurs du portail ont pu être exposés

Si vous avez déjà demandé un financement norvégien au développement par le portail de subventions de Norad, votre nom et votre adresse courriel sont peut-être entre d’autres mains. Norad, l’Agence norvégienne de coopération au développement, a dit qu’une cyberattaque découverte le 30 octobre 2026 a atteint le portail qu’utilisent l’agence et le ministère des Affaires étrangères. Le portail est fermé. On ne sait pas qui est derrière l’attaque.

Ce qui s’est passé

Le communiqué de Norad (en anglais), publié le 3 novembre et mis à jour le 6 novembre, et sa page pour les personnes touchées (en anglais), publiée le 5 novembre et aussi mise à jour le 6 novembre, donnent le récit suivant :

• Le portail de subventions sert depuis 2017. Il compte 20 614 utilisateurs inscrits, dans 12 511 organismes à travers le monde.
• L’attaque a été découverte le 30 octobre. Les attaquants sont entrés en détournant 27 comptes d’utilisateurs pour s’y connecter ce jour-là. Norad a prévenu directement les titulaires de ces comptes.
• Les prénoms, noms et adresses courriel des 20 614 utilisateurs inscrits ont pu être exposés. Norad travaille à les en informer.
• Des renseignements tirés de demandes de subvention déposées par trois organismes hors de Norvège ont été pris, y compris des pièces jointes. Ces trois organismes ont été avisés. Norad dit que d’autres pourraient s’y ajouter.
• Le portail a été fermé dès la découverte de l’attaque. Il est toujours hors service, donc les utilisateurs ne peuvent pas y changer leur mot de passe.
• Norad a avisé l’Autorité norvégienne de protection des données (Datatilsynet) et l’Autorité nationale de sécurité (NSM), et a signalé l’incident à la police.

Le financement d’organismes multilatéraux comme l’ONU ne passe pas par ce portail. Les demandes n’y sont pas évaluées, et l’argent n’y est pas versé. C’est le système que les demandeurs utilisent pour déposer une proposition en réponse à un appel.

Ce que disent Norad et la NSM

Torger Kjeldstad, directeur de la numérisation à Norad, a dit que l’attaque est complexe et que l’agence a déjà une bonne image de l’incident, mais qu’elle a fait appel à des spécialistes externes pour juger ce que les attaquants ont vraiment atteint. « C’est un incident grave », a-t-il dit. « Le portail a été fermé immédiatement, et nous travaillons encore à établir toute l’étendue de l’attaque. À ce stade, nous ne savons pas qui est derrière. »

La NSM a dit à Norad que l’attaque partage des caractéristiques avec d’autres cyberattaques récentes. Les déclarations de Norad ne nomment pas ces autres attaques. L’agence dit aussi qu’elle ne peut pas écarter la possibilité que les noms de demandeurs travaillant dans des zones de conflit ou des États autoritaires figurent parmi les données atteintes. Elle qualifie cette possibilité d’extrêmement grave, et elle oriente les personnes qui craignent pour leur sécurité vers le responsable de la sécurité de leur propre organisme, ou vers Norad, sans mettre de détails sensibles dans un courriel ordinaire.

Avoir son nom et son courriel dans la liste des 20 614 ne signifie pas que votre compte était l’un des 27 détournés, ni que la demande de votre organisme était l’une des trois qui ont été prises.

Ce que ça signifie pour vous

Un nom et une adresse courriel suffisent pour envoyer un message qui semble venir de Norad, du ministère des Affaires étrangères ou d’un partenaire avec qui vous travaillez déjà. C’est le risque dont Norad avertit : une demande de connexion, de mot de passe, de documents ou de paiement, rédigée pour avoir l’air familière. Les dossiers de demande concernent un plus petit groupe, trois organismes pour l’instant, mais ces dossiers peuvent être bien plus sensibles qu’une liste de contacts, surtout pour des groupes qui travaillent là où être nommé est dangereux.

Ce que vous pouvez faire

1. Traitez comme suspect un courriel inattendu au sujet d’une subvention norvégienne, même s’il utilise votre nom. Norad dit de ne pas cliquer sur les liens ni d’ouvrir les pièces jointes de ce message, et de ne pas utiliser le numéro ou l’adresse qui y figurent.
2. Vérifiez par un canal que vous connaissez déjà. L’adresse que Norad réserve à cet incident est cyberincident@norad.no. N’envoyez pas de mots de passe, de renseignements personnels sensibles ni de documents de demande confidentiels à cette adresse. Si vous devez transmettre quelque chose de sensible, demandez d’abord à Norad comment le faire.
3. Si vous avez réutilisé le mot de passe du portail ailleurs, changez-le sur ces autres comptes et activez l’authentification multifacteur là où c’est possible. Norad dit qu’il s’agit d’une précaution générale. Elle dit aussi que, sauf si vous avez reçu un courriel de Norad indiquant que vos renseignements ont fui, vous ne faites pas partie des organismes dont on sait que des dossiers de demande ont été pris. Vous ne pouvez pas changer le mot de passe du portail tant qu’il est fermé.
4. Si le fait d’être nommé peut vous mettre en danger, ou mettre quelqu’un d’autre en danger, parlez au responsable de la sécurité de votre organisme ou à une personne de confiance, et écrivez à Norad sans mettre ces détails dans le premier courriel.
5. Attendez-vous à des messages copiés. Après un avis comme celui-ci, des gens qui n’ont rien à voir avec l’intrusion écrivent quand même aux personnes visées. Voyez comment les fraudeurs utilisent des données divulguées pour qu’un message paraisse personnel.

Comment Frame peut aider

Ajoutez cette fuite à une adresse courriel vérifiée dans Frame : Frame montre ce qu’elle a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Les alias de courriel de Frame vous permettent aussi de donner à chaque service une adresse qui lui est propre, pour qu’un faux message arrivé à la mauvaise adresse se remarque. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

À lire aussi

• Comment les fraudeurs utilisent les données divulguées pour personnaliser l’hameçonnage, et comment le repérer : ce que valent un nom et une adresse courriel pour quelqu’un qui écrit un faux message de subvention.

Sources

• Norad, Norad targeted by cyberattack (en anglais), publié le 3 novembre 2026, mis à jour le 6 novembre 2026
• Norad, Cyberattack on Norad: Information for affected users (en anglais), publié le 5 novembre 2026, mis à jour le 6 novembre 2026