SmartHRMS : ce que l’on sait de la cyberattaque touchant la paie des mosquées à Singapour

Pour les salariés concernés, la question immédiate était celle du versement de leur salaire. Le logiciel de ressources humaines et de paie SmartHRMS, exploité par Avelogic, a été touché par un rançongiciel détecté le 31 août 2026, après une activité des attaquants les 30 et 31 août. L’accès au système a été perturbé ; le Conseil religieux islamique de Singapour, ou MUIS, a précisé en septembre les conséquences pour ses institutions.15123

Quelles institutions ont été touchées ?

Selon le MUIS, l’incident a concerné 48 mosquées, quatre madrasas — des établissements d’enseignement islamique —, ainsi que l’Islamic Learning Hub and Management Office (ILHAM) et le Mosque-Madrasah-Wakaf Shared Services (MMWSS), un service mutualisé. Des clients d’Avelogic dans d’autres secteurs ont également été touchés, sans être nommés par le MUIS.3

Les données ont-elles été volées ?

Il faut distinguer deux formes de chiffrement. Le rançongiciel a chiffré les bases de données SmartHRMS et les sauvegardes qui y étaient rattachées, bloquant leur accès. Dans son premier avis, Avelogic indiquait ne disposer alors d’aucun point de restauration. Par ailleurs, l’entreprise précisait que les principaux champs de données sensibles étaient déjà protégés par un chiffrement au niveau de l’application.1512

Une enquête menée par des spécialistes indépendants n’a trouvé aucune preuve d’une extraction massive de données dans les données de suivi réseau Amazon Web Services disponibles pour la période d’activité confirmée des attaquants, les 30 et 31 août. Le MUIS a également indiqué qu’aucun élément ne montrait qu’une grande quantité de données avait été emportée. Cela ne permet toutefois pas d’exclure tout accès aux données ou tout prélèvement : l’enquête se poursuivait.1217

Salaires, rançon et remise en service : quelles suites ?

Avelogic a déclaré avoir isolé les systèmes touchés, révoqué les accès à distance et conservé les éléments nécessaires à l’enquête. L’entreprise a sollicité des experts indépendants en cybersécurité et a ensuite récupéré les données affectées. Elle a déposé plainte auprès de la police le 31 août et informé la Commission singapourienne de protection des données personnelles (PDPC) en sa qualité d’intermédiaire chargé du traitement des données. Selon le MUIS, aucune rançon n’a été payée.1517123

Le MUIS a mis en place d’autres modalités de paie afin que les employés concernés des mosquées et des madrasas reçoivent leur salaire à temps. Il a indiqué que les services religieux et les services destinés au public n’avaient pas été interrompus. Récupérer les données ne signifiait pas que SmartHRMS pouvait aussitôt redémarrer : les enquêtes et contrôles de sécurité se poursuivaient, et le MUIS conditionnait la reprise du système aux vérifications et protections nécessaires.317