Cybersécurité des petites communes : 218 incidents en un an, et des mairies à l’arrêt pendant des semaines

Une mairie de huit cents habitants n’a pas de direction des systèmes d’information. Elle a une secrétaire de mairie, un ordinateur, un logiciel d’état civil, une comptabilité et parfois un prestataire informatique à trente kilomètres. C’est exactement ce profil qui intéresse les attaquants : peu de moyens, peu de compétences techniques internalisées, et une conscience du risque souvent insuffisante.

Ce que disent les chiffres officiels

L’ANSSI a enregistré 218 incidents affectant des collectivités territoriales sur une année, soit 14 % de l’ensemble des incidents traités et une moyenne de 18 par mois. Les communes et les intercommunalités à fiscalité propre constituent la majorité des signalements (CERT-FR, synthèse de la menace).

La répartition des attaques ne correspond pas à l’image qu’on s’en fait. Le premier vecteur n’est pas le rançongiciel spectaculaire mais la compromission de messagerie : 66 incidents, soit 30 % du total. Viennent ensuite les attaques par déni de service (58 incidents), puis les rançongiciels (25 incidents, 11 %) et les exfiltrations de données. Le constat de l’agence est sans détour : les collectivités sont « souvent peu ou mal sécurisées, gestionnaires de systèmes disparates », avec des lacunes dans la cartographie de leur propre réseau.

La conséquence est très concrète : des interruptions de service public sur plusieurs semaines — état civil, aide sociale, gestion de l’eau. Pour un village, cela signifie qu’on ne peut plus délivrer un acte de naissance, mandater un paiement ou éditer une facture d’eau.

La compromission de messagerie, angle mort numéro un

Le scénario typique n’a rien de sophistiqué : un mot de passe réutilisé, un courriel piégé, et l’attaquant accède à la boîte de la mairie. Il n’a alors même pas besoin de chiffrer quoi que ce soit — il lui suffit d’observer les échanges, puis d’envoyer à l’entreprise qui vient de facturer des travaux un message parfaitement crédible annonçant un changement de coordonnées bancaires. Le virement part sur le bon ton, depuis la bonne adresse, avec les bonnes références.

Ce type de fraude touche aussi bien les communes que les particuliers et les petites entreprises, et il explose partout pour la même raison : il ne demande aucune compétence technique, seulement de la patience.

Le plan minimal, sans budget de DSI

Activer l’authentification à deux facteurs sur toutes les messageries et les accès aux applications métier. C’est gratuit, cela prend une demi-journée pour une petite commune, et cela neutralise à soi seul l’essentiel du risque de compromission de messagerie.

Des sauvegardes chiffrées, externalisées et testées. Le mot important est « testées » : une sauvegarde qu’on n’a jamais restaurée n’est pas une sauvegarde, c’est une hypothèse. Un test de restauration par trimestre suffit, et il doit figurer noir sur blanc dans le contrat du prestataire.

Une règle écrite sur les changements de coordonnées bancaires : tout RIB modifié se vérifie par téléphone, sur un numéro connu à l’avance, jamais sur celui indiqué dans le message. Cette seule ligne de procédure évite la majorité des fraudes au virement.

Et un protocole d’incident préparé à froid : isoler les postes touchés, déposer plainte, signaler sur cybermalveillance.gouv.fr, ne jamais payer la rançon — c’est la position constante de l’ANSSI —, restaurer, et communiquer honnêtement auprès des agents et des habitants.

Le vrai levier est intercommunal

Aucune commune de huit cents habitants ne peut porter seule une politique de sécurité informatique. En revanche, une intercommunalité peut mutualiser ce que chaque village ne peut pas s’offrir : un marché de sauvegarde commun, une sensibilisation annuelle des secrétaires de mairie, un référent unique joignable en cas d’incident, un cahier des charges type. C’est l’échelle où le rapport coût/protection devient favorable — et c’est celle de nos territoires, entre Bresse, Haute-Seille et vallée de la Seille.

C’est aussi la logique que nous défendons dans nos audits d’outils et de données : commencer par savoir ce que l’on a, où sont les données et qui y accède. La cartographie précède toujours la protection.

Pour aller plus loin : nos prestations d’audit et de développement, Disfuz et l’ensemble de nos activités.

Cet article fait partie de notre dossier TPE-PME : les échéances numériques de 2026 à 2028.