Maillé : vingt ans d'archives chiffrées par un rançongiciel

Le 25 août 1944, 124 habitants de Maillé, commune du sud de la Touraine, ont été massacrés par des soldats allemands. Le plus jeune avait trois mois. Depuis 2006, la Maison du souvenir recueille les photographies, les documents et les témoignages enregistrés de rescapés et de familles de victimes.

Dans la nuit du 9 au 10 septembre 2026, ce fonds est devenu illisible.

Ce qui s’est passé

Le serveur de la Maison du souvenir a été piraté, et les attaquants ont chiffré l’ensemble des données, sauvegardes comprises : en une dizaine de minutes, selon ICI. Michaël Cortot, président de l’association « Pour le souvenir de Maillé », y explique que vingt ans de recherches et de témoignages deviennent inutilisables si les données ne sont pas récupérées. Les documents de gestion courante sont également touchés.

Le prestataire informatique a établi un contact avec les pirates. Leur réponse, arrivée le lundi 14 septembre selon France 3 et ICI, contenait un lien de paiement en bitcoins valable 48 heures : 5 000 dollars, environ 4 300 euros. France 3 rapportait le 15 septembre que la décision de payer ou non devait être prise avant le mercredi 16 septembre à midi. Le 16 septembre après-midi, l’échéance passée, aucune décision n’avait été rendue publique.

« Je suis KO debout », confiait à France 3 le directeur, Romain Taillefait.

De quelle structure parle-t-on

Pas d’une grosse institution. Selon son site, la commune a acquis le bâtiment à la fin des années 1990 et la Maison du souvenir a ouvert en février 2006. La presse décrit une petite association, quatre salariés et des bénévoles, qui associe exposition, accueil de scolaires et recherche. Nous n’avons pas trouvé la convention exacte entre commune et association.

Chiffrement établi, vol de données non établi

FrenchBreaches range l’incident parmi les fuites avec le statut « Confirmée ». Ce qui est confirmé, c’est le chiffrement : la structure l’a décrit publiquement.

Pour le vol de données, la situation est différente. France 3 cite un avis adressé aux adhérents indiquant que les « données potentiellement dérobées concernent principalement des adresses électroniques, celles des adhérents ainsi que celles des personnes souhaitant être informées ». La structure appelle à « la plus grande vigilance » face à tout message inhabituel semblant venir d’elle.

Potentiellement dérobées. La Maison du souvenir ne dit pas que ces adresses ont été copiées ; elle envisage qu’elles l’aient été et prévient par précaution. À notre connaissance, aucune exfiltration n’est établie, aucun groupe n’a revendiqué l’attaque, aucune donnée n’a été publiée. Nous qualifions donc l’incident de rançongiciel confirmé, vol de données non établi.

La distinction n’enlève rien à la gravité. Au sens de l’article 4, point 12, du RGPD, la perte ou la destruction de données personnelles est déjà une violation, avec obligation de la documenter et, le cas échéant, de la notifier à la CNIL (article 33).

Payer ne garantit rien

La gendarmerie et d’autres interlocuteurs ont conseillé de ne pas payer, rapporte France 3. Cybermalveillance.gouv.fr écrit de même : « Ne payez pas la rançon ». Rien ne garantit la récupération des fichiers, ni la non-publication de données volées, et le paiement finance les attaquants.

Le dilemme est pourtant réel. Les témoignages enregistrés de rescapés d’un massacre ne se reconstituent pas. Face à une perte définitive, 4 300 euros peuvent paraître peu. Le conseil de ne pas payer reste valable, mais il ne répare rien : la seule protection efficace intervient avant l’attaque.

Ce que doit retenir une petite structure

Une phrase citée par France 3 résume le problème mieux qu’un guide : « Notre système de sauvegarde était censé être bon, mais tout était interconnecté en fait ».

Une sauvegarde joignable depuis le serveur principal subit le même sort que lui. Cybermalveillance.gouv.fr recommande des sauvegardes régulières « en gardant des copies déconnectées », et de vérifier périodiquement qu’une restauration fonctionne. Pour un musée associatif ou un club, cela peut rester simple :

• une copie qui ne reste pas branchée, par exemple un disque externe rangé hors du bâtiment et connecté le temps de la copie ;
• un essai de restauration au moins une fois par an ;
• une liste de ce qui est irremplaçable (fonds numérisés, enregistrements), qui mérite une copie de plus ailleurs ;
• les coordonnées utiles sur papier : prestataire, assureur, gendarmerie. Cybermalveillance.gouv.fr recommande de déposer plainte avant de réinstaller les systèmes.

Rien de cela ne demande un budget d’entreprise. Il faut surtout que quelqu’un en soit nommément responsable.

Le risque pour les adhérents

Si des adresses ont été copiées, le danger suivant est un faux message au nom de la Maison du souvenir, un appel aux dons par exemple. Rien ne permet de dire qu’un outil d’intelligence artificielle a servi dans cette attaque. L’ANSSI note en revanche, dans son Panorama de la cybermenace 2025, que ces outils permettent aux attaquants « d’améliorer le niveau, la quantité, la diversité et l’efficacité de leurs attaques ». Un faux courriel écrit sans faute, dans le ton de l’institution, ne se repère plus à sa syntaxe. Le réflexe : ne rien payer, ne cliquer sur rien, et vérifier par un numéro que l’on connaît déjà.

Préparer une organisation à tenir pendant une attaque, c’est l’objet de notre journée Réagir face à une cyberattaque : organisation et gestion de crise ; nos autres parcours figurent sur la page cybersécurité. DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480 — cet enregistrement ne vaut pas agrément de l’État —, et aucun financement OPCO, CPF ou France Travail n’est mobilisable à ce jour.

Une question à poser dès cette semaine dans toute association qui conserve des archives : si le serveur disparaissait cette nuit, quelle copie serait encore lisible demain matin, et qui sait où elle se trouve ?

Sources

• France 3 Centre-Val de Loire, Patrick Ferret, « “Vingt années de travail anéanties” : une cyberattaque vise la Maison du souvenir de Maillé, témoin du massacre de 1944 », 15 septembre 2026.
• ICI, « Piratage de la Maison du souvenir de Maillé : “C’est 20 ans de recherches, de témoignages qui ne sont plus accessibles” », septembre 2026.
• Seven Radio, « Cyberattaque à Maillé : les archives de la Maison du souvenir bloquées », 15 septembre 2026.
• La Nouvelle République, « “Nous sommes sonnés, bouleversés” : la Maison du souvenir de Maillé victime… », septembre 2026, consulté via l’agrégateur Titres Presse.
• Maison du souvenir, maisondusouvenir.fr, pages « La Maison du souvenir » et accueil, consultées le 16 septembre 2026.
• Chemins de mémoire (ministère des Armées), fiche « Maison du Souvenir de Maillé » : date du massacre et nombre de victimes.
• Office de tourisme Azay-Chinon Val de Loire, page sur la Maison du souvenir de Maillé : âge du plus jeune et du plus âgé des victimes.
• FrenchBreaches, fiche « Maison du souvenir de Maillé », consultée le 16 septembre 2026, statut « Confirmée ».
• Cybermalveillance.gouv.fr, fiche réflexe « Rançongiciels », mise à jour du 7 mai 2026.
• ANSSI, Panorama de la cybermenace 2025, 11 mars 2026.
• RGPD (règlement (UE) 2016/679), articles 4 et 33.
• Aucun site de revendication ni aucune donnée volée n’a été consulté pour cet article.