Cyberattaque en collectivité : « trop petits pour être ciblés », vraiment ?

• « On a déjà vu une adresse de service usurpée pour envoyer des mails en masse. »
• « On a l'impression que, quoi qu'on fasse, si quelqu'un veut entrer, il entrera. »
• « On se demande si une structure comme la nôtre intéresse vraiment les attaquants. »
• « Une collectivité, c'est là que se trouvent les données des habitants : une attaque fait mal. »

La dernière phrase répond aux deux précédentes. Une collectivité détient les données de tous ses habitants, et elle écrit chaque jour à des entreprises et à des usagers qui lui font confiance.

Une grande partie des attaques par messagerie est automatisée. Le même message piégé part vers des milliers d'adresses, les mêmes mots de passe volés sont essayés partout, et l'attaquant garde ce qui cède. Il cherche une porte ouverte, quelle que soit la cible.

Mieux vaut donc se demander si la collectivité est facile à ouvrir. La réponse dépend de mesures à la portée de toute collectivité, ce qui est plutôt une bonne nouvelle.

Les adresses de service (accueil, commande publique, secrétariat) cumulent les fragilités : un mot de passe partagé entre plusieurs personnes, rarement changé, souvent sans double authentification. Une fois l'adresse compromise, l'attaquant écrit au nom de la collectivité à des usagers et à des entreprises qui n'ont aucune raison de se méfier.

Il existe aussi une variante sans compromission : si le domaine de la collectivité n'est pas protégé, un tiers peut envoyer des messages qui semblent venir de lui, sans jamais toucher à la boîte.

• Activer la double authentification partout où l'outil la propose, à commencer par la messagerie, pour qu'un mot de passe volé ne suffise plus.
• Donner un compte à chaque agent et ne plus partager de mot de passe. En réunissant les boîtes partagées dans un outil comme Chatwoot, chaque agent travaille avec ses propres identifiants, comme nous le détaillons dans notre article sur la centralisation des boîtes partagées.
• Publier SPF, DKIM et DMARC sur le domaine. Ces 3 enregistrements DNS indiquent quels serveurs ont le droit d'écrire au nom de la collectivité, et demandent aux destinataires de rejeter les autres.

Le dispositif national cybermalveillance.gouv.fr publie des fiches pratiques sur chacun de ces points.

Aucune mesure n'empêche tout. L'objectif devient alors de limiter ce qu'un compte compromis peut atteindre et de savoir réagir.

• Limiter les accès, pour qu'un agent ne voie que les boîtes de son service.
• Tenir des journaux et des sauvegardes, pour savoir ce qu'il s'est passé et restaurer ce qui a été abîmé.
• Écrire la procédure à suivre : changer le mot de passe, fermer les sessions ouvertes, vérifier les règles de transfert, prévenir les destinataires. Si un accès non autorisé à une boîte touche des données personnelles, la collectivité, responsable du traitement, notifie la violation à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si elle est peu susceptible d'engendrer un risque pour les personnes (article 33 du RGPD). Elle consigne chaque violation dans un registre interne et informe les personnes concernées si le risque est élevé (article 34).

Pour les services que nous hébergeons, notre propre posture (supervision, sauvegardes, divulgation de vulnérabilités) est décrite sur notre page sécurité.