Une intrusion informatique particulièrement préoccupante touche le réseau Mutu, qui héberge plusieurs médias indépendants français, dont Dijoncter.info. Le collectif a officiellement confirmé la découverte d’une porte dérobée installée sur plusieurs de ses serveurs, permettant potentiellement aux pirates d’accéder aux identités numériques des auteurs, aux messages privés et aux adresses IP des visiteurs.
L’attaque a été détectée le 22 octobre 2026, mais les investigations ont révélé que les accès malveillants étaient présents depuis au moins le 8 septembre, soit près de six semaines auparavant. L’incident a été rendu public par le réseau Mutu le 30 octobre, puis relayé par Dijoncter.info le 3 novembre.
Créé en 2013, Mutu est un réseau de médias indépendants et participatifs qui mutualisent leurs infrastructures informatiques. Il rassemble notamment des plateformes d’information locales comme Dijoncter, Rebellyon ou Paris-Luttes.info, principalement consacrées à l’actualité sociale et aux mouvements militants.
Des pirates disposaient des privilèges les plus élevés sur plusieurs serveurs
Selon la commission technique du réseau, les attaquants ont installé une porte dérobée sur plusieurs machines virtuelles utilisées pour assurer le fonctionnement quotidien des plateformes.
Cette porte dérobée disposait des privilèges administrateur les plus élevés, offrant potentiellement un accès complet aux informations hébergées et la possibilité de modifier des fichiers ou d’introduire du code malveillant.
Le collectif reconnaît ne pas avoir retrouvé de traces permettant de déterminer précisément les actions des pirates. Il ne peut donc pas établir quelles informations ont effectivement été copiées, ni identifier les responsables de l’intrusion.
La méthode initiale de compromission reste également inconnue. L’exploitation d’une vulnérabilité ou le détournement d’identifiants administratifs pourraient expliquer un tel accès, mais aucune hypothèse technique n’a été confirmée.
Adresses IP, mots de passe et échanges privés potentiellement compromis
La nature des informations accessibles rend cette cyberattaque particulièrement sensible. Parmi les données potentiellement consultées figurent :
- Les adresses email et pseudonymes des contributeurs ;
- Les empreintes des mots de passe des comptes utilisateurs ;
- Les adresses IP des visiteurs et des auteurs, permettant parfois de retrouver leur connexion Internet ;
- Les listes d’abonnés aux newsletters ;
- Les messages de modération et les échanges internes ;
- Le contenu des messageries hébergées sur les serveurs compromis.
Le collectif précise que les pirates auraient également pu intercepter certains mots de passe en clair lors des connexions, moyennant des manipulations supplémentaires. Cette possibilité n’a toutefois pas été démontrée.
L’exposition éventuelle des adresses IP représente un risque particulier pour les contributeurs publiant sous pseudonyme. Leur rapprochement avec des comptes, des articles ou des échanges internes pourrait faciliter certaines tentatives d’identification.
Pour les simples lecteurs, les risques concernent principalement la confidentialité de leur navigation. Pour les auteurs de contributions sensibles, les conséquences pourraient être plus importantes.
Le serveur de messagerie pourrait toujours être compromis
Face à l’ampleur de l’intrusion, les administrateurs de Mutu ont décidé de reconstruire leurs serveurs depuis zéro, plutôt que de simplement supprimer les éléments malveillants identifiés.
Les mots de passe des comptes ont été réinitialisés et les adresses accessibles via le réseau Tor ont été renouvelées.
Mais le collectif souligne un problème majeur : seul le serveur web a pour le moment été réinstallé. Le serveur de messagerie pourrait encore être compromis, dans l’attente de son remplacement.
Les responsables recommandent donc de ne plus transmettre d’informations sensibles par courrier électronique non chiffré et de modifier les mots de passe éventuellement réutilisés sur d’autres services.
Une nouvelle attaque quelques mois après un premier piratage
Ce n’est pas le premier incident de sécurité connu sur cette infrastructure. Entre le 15 et le 17 juin 2026, deux autres médias du réseau, Barrikade et Paris-Luttes.info, avaient déjà été victimes d’une compromission informatique, révélée publiquement début juillet.
Aucun élément public ne permet actuellement de relier les deux attaques ou d’affirmer qu’elles ont été réalisées par les mêmes individus.
Le réseau Mutu évoque la possibilité d’attaques ciblées contre ses infrastructures, mais aucune preuve technique rendue publique ne permet d’attribuer cette intrusion à un groupe particulier ou à un service de renseignement.
La compromission des serveurs est officiellement confirmée, mais le vol effectif des informations reste à établir. L’absence de traces exploitables empêche aujourd’hui de mesurer précisément les conséquences de l’intrusion.
Cette affaire rappelle qu’une cyberattaque contre un média peut dépasser largement l’indisponibilité de son site Internet. Lorsqu’un hébergement conserve des identifiants, des échanges confidentiels et des données de connexion, une intrusion prolongée peut aussi menacer la confidentialité des sources, des contributeurs et des lecteurs.
Source originale : Cyberattaque.org.
