Boubiers, Villers-Saint-Paul, Saint-Crépin-Ibouvillers, Creil... Quinze de communes de l'Oise ont été victimes de cyberattaques en 2020. Un chiffre en nette hausse par rapport aux années précédentes, qui s'explique en partie par le développement du télétravail.
"On ne s'imagine pas être une cible", s'étonne encore Alain Letellier, maire de Saint-Crépin-Ibouvillers. Le 29 décembre, la mairie de cette petite commune de l'Oise a été visée par une cyberattaque. Un e-mail signé de la municipalité, qu'un hackeur a envoyé à leurs 2 500 contacts, élus et administrés. "Un truc idiot. Avec plein de fautes d'orthographe."
Demande de rançon
Une attaque mineure en comparaison à celle de l'été 2019, rappelle Alain Letellier, alors président de la communauté de communes des Sablons. Via une faille dans le service urbanisme, des pirates informatiques ont crypté des centaines de fichiers. "C'était des budgets, des payes, des archives de la communauté de communes... et ils demandaient une rançon en bitcoin", soupire Alain Letellier. Le travail de la collectivité s'est retrouvé paralysé pendant une semaine. "Il fallait qu'on les récupère, on était coincés. On a dû payer l'équivalent de 10 000 euros."
Ces actes malveillants sur les systèmes informatiques communaux se sont multipliés en 2020. Créil, Vandélicourt, Boubiers... Cette année, quinze collectivités locales ont sollicité l'association pour le développement et l'innovation numérique des collectivités (Adico), contre une ou deux habituellement. Le plus important étant sans doute le piratage des données de la mairie de Villers-Saint-Paul : fichiers électoraux, d'état civil et comptabilité ont fuité.
La faute au télétravail ?
Pour le directeur général de l'Adico, Emmanuel Vivé, le télétravail a favorisé ces cyberattaques. "Lorsqu'un agent de mairie travaille chez lui, il utilise soit un équipement personnel qui n'est pas forcément sécurisé, soit son ordinateur de travail mais qui sort du réseau sécurisé. Et en ouvrant toutes ces petites fenêtres, il y a forcément beaucoup plus d'entrées dans la bâtisse", explique-t-il.
Le phénomène s'explique aussi par des outils de piratage de plus en plus performants et surtout crédibles, en apparence. "Nous avons repéré de nouvelles alertes. Par exemple, un hackeur se fait passer pour un agent de mairie demandant un changement de coordonnées bancaires. Et la fausse déclaration paraît tout à fait vraie."
Sur les quinze collectivités de l'Oise concernées par un piratage en 2020, huit ont fait remonter l'incident à la commission nationale de l'infomatique et des libertés (Cnil), qui juge ensuite de l'ampleur de l'attaque. Chaque fuite de données doit faire l'objet d'une déclaration de violation dans le cadre du règlement général sur la protection des données (RGPD). Des plaintes sont ensuite déposées mais les hackeurs sont rarement retrouvés.
Sensibiliser mairies et citoyens face aux risques
Les collectivités locales ont tendance à se sentir moins menacées par le piratage informatique, mais constituent tout autant des cibles intéressantes, à l'heure de la dématérialisation. "Le risque est énorme", souligne Emmanuel Vivé, appellant à la plus grande vigilance. L'Adico travaille d'ailleurs avec l'agence nationale de la sécurité des systèmes d'information (ANSSI), sur des parcours de sensibilisation et de formations dans les mairies.
Les recommandations de sécurité pour les #teletravailleurs. Les 12 points de sensibilisation pour respecter une hygiène #informatique et garantir la sécurité de tous et pour tous @Adico60 https://t.co/3HrFZCCxPn
— Emmanuel Vivé (@EmmanuelViv) May 6, 2020
De bons réflexes peuvent être adoptés pour éviter les cyberattaques : mettre à jour les logiciels et anti-virus sur son ordinateur, sauvegarder régulièrement ses fichiers sur un serveur externe, et déployer des solutions anti-spam pour ne pas être piégé par des e-mails malveillants. De simples conseils valables également pour tout un chacun, puisque cela s'inscrit dans une hausse globale des cyberattaques.
L'Adico intervient principalement dans l'Oise et les secteurs limitrophes, mais le phénomène s'étend d'ailleurs bien au-delà du département. Et toutes les communes, même les plus grandes villes peuvent être touchées. Ce fut le cas de Creil en juillet dernier, "toutes les dispositions avaient été prises en amont. Ce n'est resté qu'une tentative", explique le cabinet du maire. Dernière en date, le service informatique de la mairie d'Angers, ce samedi 16 janvier. Mais encore, la mairie de Bayonne début décembre, et celle de Marseille à la mi-mars.
