Trois ans de web skimming sur une boutique universitaire

Fin 2023. C’est la date à laquelle remonte le début de la période potentiellement affectée sur la boutique en ligne des Presses universitaires de Franche-Comté, selon les investigations techniques de l’Université Marie et Louis Pasteur.

L’alerte, elle, est arrivée le 8 septembre 2026. Presque trois ans.

Ce qui s’est passé

L’université a été informée le mardi 8 septembre de la présence d’un script malveillant sur la boutique en ligne des PUFC. L’analyse technique a identifié un dispositif de web skimming.

Le principe est simple et c’est ce qui le rend efficace : du code est introduit sur un site marchand pour récupérer, à l’insu de l’acheteur, ce qu’il saisit au moment du paiement. Ici, le dispositif était capable d’intercepter les données de carte bancaire.

Le site fonctionne normalement. La commande aboutit, le colis part, la carte est débitée du bon montant. Rien ne signale à l’acheteur que ses seize chiffres, sa date d’expiration et son cryptogramme sont partis ailleurs en même temps.

La réaction de l’établissement a été rapide : dès réception de l’alerte, les équipes de sécurité numérique ont interrompu complètement l’accès public au site, pour neutraliser tout risque d’exfiltration. L’université indique que l’incident est strictement circonscrit au serveur web hébergeant les PUFC. Notification à la CNIL et à l’ANSSI, plainte pénale déposée auprès de la police de Besançon et du procureur de la République.

Le chiffre de 1 332, et ce qu’il ne dit pas

L’université a identifié 1 332 personnes ayant effectué un achat sur la boutique depuis décembre 2023.

Ce nombre décrit un périmètre de clients potentiellement exposés sur la période suspectée. Il ne signifie pas que 1 332 cartes ont été volées : l’établissement indique ne pas être en mesure de déterminer avec certitude quelles transactions ont pu être interceptées.

La différence n’est pas cosmétique. Elle explique pourquoi l’université prévient tout le monde plutôt que de trier : quand on ne sait pas, on notifie large. C’est la bonne décision, et c’est aussi l’aveu qu’un dispositif de ce type laisse peu de traces exploitables.

Pourquoi trois ans

Un skimmer web ne dégrade rien. Il n’affiche pas de rançon, ne chiffre pas les fichiers, ne fait pas tomber le serveur. Il ne se manifeste par aucun des signaux qui déclenchent habituellement une alerte.

Sa détection repose donc sur des contrôles qu’il faut avoir décidé de faire : surveillance de l’intégrité des fichiers du site, revue des scripts chargés par la page de paiement, veille sur les extensions et modules de la boutique. Aucun de ces contrôles n’est spontané.

Une petite structure d’édition adossée à une université vend quelques centaines de commandes par an. Le site est souvent maintenu par une personne, parfois par personne en particulier. C’est le profil type du service oublié : trop petit pour justifier un contrat de maintenance, trop réel pour être débranché.

Cette configuration n’appartient pas au seul enseignement supérieur. Une association, un club, une PME qui a ouvert une boutique il y a quatre ans et n’y a plus touché sont dans la même situation.

Ce que le RGPD impose ici

Des données bancaires ne relèvent pas des catégories particulières de l’article 9 du RGPD. Elles n’en présentent pas moins un risque élevé pour les personnes, ce qui déclenche l’article 34 : l’information des personnes concernées, dans les meilleurs délais. C’est ce que l’université a fait.

L’article 33 impose par ailleurs la notification à la CNIL dans les 72 heures après en avoir pris connaissance, et la documentation de toute violation, notifiée ou non. Le point de départ est la prise de connaissance, pas le début de l’intrusion. Un délai de trois ans entre la compromission et la découverte n’est donc pas une irrégularité de notification ; c’est un problème de détection.

L’article 32, lui, exige des mesures adaptées au risque, et prévoit explicitement une procédure de vérification régulière de leur efficacité. C’est sur ce terrain que se joue une affaire de ce type.

Ce que fait un acheteur concerné

Le conseil de l’université est de surveiller attentivement ses relevés de compte et de contacter sa banque si nécessaire, pour un renouvellement du moyen de paiement.

À quoi il faut ajouter deux choses.

Une opposition ne coûte rien et se décide vite. Si votre carte a servi sur ce site depuis fin 2023 et qu’elle est toujours valide, la faire refaire est la seule mesure qui ferme réellement le sujet.

Surveillez les petits montants. Les débits de test précèdent souvent les gros. Un prélèvement de quelques euros que vous ne reconnaissez pas n’est pas une erreur d’arrondi.

En cas de débit frauduleux, l’article L. 133-18 du code monétaire et financier impose à la banque de rembourser immédiatement le montant de l’opération non autorisée, sauf soupçon de fraude du payeur. L’article L. 133-24 fixe à treize mois le délai de contestation. Trois ans de période exposée, c’est plus que ce délai : les acheteurs de 2023 et 2024 peuvent ne plus pouvoir contester. C’est l’effet le plus concret d’une détection tardive.

Si vous exploitez une boutique en ligne

Trois vérifications, qui tiennent dans une matinée :

• Listez les scripts chargés sur votre page de paiement. Chacun doit avoir un nom, un propriétaire et une raison d’être. Un fichier que personne ne sait expliquer est un fichier à retirer.
• Datez votre dernière mise à jour de module. Les compromissions de boutiques passent massivement par des extensions non mises à jour.
• Décidez qui regarde, et à quelle fréquence. Une surveillance d’intégrité qui n’a pas de propriétaire n’existe pas.

Et surtout : si votre boutique traite le paiement en redirigeant vers la page de votre prestataire bancaire, plutôt qu’en hébergeant le formulaire de carte, un skimmer sur votre site n’a rien à intercepter. C’est la décision d’architecture qui rend cette attaque impossible, pas l’antivirus.

Repérer ce qui tourne sur ses propres systèmes, c’est l’objet de notre parcours Sûreté cyber pour PME et TPE : plan d’actions ; nos autres formations figurent sur la page cybersécurité. DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480 — cet enregistrement ne vaut pas agrément de l’État —, et aucun financement OPCO, CPF ou France Travail n’est mobilisable à ce jour.

Question pour ce soir : la dernière fois que quelqu’un a regardé le code source de votre page de paiement, c’était quand, et qui ?

Sources

• Université Marie et Louis Pasteur, communiqué relayé par ToutMontbeliard.com, « Incident de sécurité : les clients des Presses universitaires de Franche-Comté appelés à la vigilance », 15 septembre 2026 : alerte du 8 septembre, période remontant à fin 2023, 1 332 personnes, fermeture de la boutique, notification CNIL et ANSSI, plainte à Besançon.
• macommune.info, « Un script malveillant découvert sur la boutique en ligne des Presses universitaires de Franche-Comté », septembre 2026.
• Cyberattaque.org, « Pendant près de trois ans un malware a pu espionner les cartes bancaires des clients des Presses universitaires de Franche-Comté », 15 septembre 2026.
• FrenchBreaches, alerte « Presses universitaires de Franche-Comté », statut « Confirmée », 15 septembre 2026 : 1 332 personnes, périmètre et non-certitude sur les transactions interceptées.
• RGPD (règlement (UE) 2016/679), articles 32, 33 et 34.
• Code monétaire et financier, articles L. 133-18 et L. 133-24.
• Aucun site de revendication ni aucune donnée volée n’a été consulté pour cet article.