Norad, l’agence norvégienne de coopération au développement, a annoncé une attaque découverte le 30 octobre 2026 sur son portail de demandes de subventions. Son communiqué indique que 27 comptes ont été détournés. Les noms et adresses e-mail de 20 614 utilisateurs peuvent avoir été consultés, et des documents de demandes d’au moins trois organisations sont compromis. Pour les associations partenaires, l’exposition peut dépasser le simple courrier indésirable.
Deux périmètres à ne pas confondre
Les comptes utilisés pour entrer dans le portail et les personnes dont les données peuvent être accessibles ne forment pas la même population. Panorama Nyheter a documenté les premiers éléments et le rôle du portail; l’ampleur potentielle s’est ensuite précisée. Une association doit demander si elle reçoit une notification relative à son compte, aux coordonnées de son personnel ou à un dossier soumis. La réponse détermine les personnes à prévenir.
Des documents, pas un système de paiement
Norad précise que le portail ne sert ni à évaluer les demandes ni à verser les fonds. Il ne faut donc pas présenter cet incident comme un détournement de subventions. En revanche, les pièces d’un dossier peuvent avoir une valeur confidentielle indépendante du paiement. Le nombre de dossiers touchés ne doit pas être déduit du nombre d’utilisateurs inscrits.
Évaluer l’exposition des partenaires
Help Net Security souligne la situation des demandeurs travaillant en zone de conflit ou dans des États autoritaires. L’analyse pratique consiste à regarder ce qu’un dossier relie : une personne, une organisation et un projet. Pour une association opérant dans un contexte sensible, faites évaluer la notification par la personne chargée de la sécurité des partenaires avant de la diffuser largement. N’ajoutez pas au risque en partageant les noms potentiellement concernés dans des canaux publics.
Reprendre la maîtrise du compte de dépôt
Vérifiez les notifications Norad par un canal déjà utilisé avec l’agence. Si votre organisation reçoit une consigne de renouvellement, utilisez le portail ou la procédure officielle et conservez les preuves utiles à l’enquête. Désignez un responsable du compte et vérifiez les collaborateurs qui doivent encore l’utiliser. Le seul constat de comptes détournés n’établit pas si l’entrée s’est faite par hameçonnage, réutilisation de mot de passe ou une autre méthode.
Le lien avec Soclyde
Une petite association doit pouvoir retrouver l’accès à son portail de financement sans conserver le mot de passe dans chaque dossier de projet. Soclyde centralise l’organisation de ces identifiants dans un coffre chiffré sur les appareils, avec partage en Premium. Il ne retire pas les documents déjà exposés chez Norad. Les habilitations et changements de compte restent à gérer dans le portail avec l’agence.
À retenir
Traitez séparément les accès détournés et les informations potentiellement exposées. Pour Norad, la confidentialité des personnes et des dossiers compte autant que la reprise du portail. Pour préparer vos pratiques d’accès, consultez notre guide sécuriser ses mots de passe.
