Une secrétaire de mairie ouvre un mail qui imite la préfecture, clique sur le lien, et livre sans le savoir les identifiants du serveur de la commune. Ce scénario, banal en apparence, a touché des dizaines de collectivités en 2024.
L’ANSSI a traité 218 incidents cyber visant des collectivités territoriales sur cette seule année, soit environ 18 par mois. Le phishing par email reste le premier vecteur d’attaque en volume. Les structures locales, communes rurales en tête, cumulent des faiblesses que les grands groupes ont corrigées depuis longtemps.
Messagerie des collectivités : une surface d’attaque que personne ne surveille vraiment
Dans une commune de moins de 5 000 habitants, on retrouve souvent un seul poste informatique partagé entre plusieurs agents. Le mot de passe de la boîte mail générique ([email protected]) circule sur un post-it ou dans un fichier texte. Personne ne gère les droits d’accès, parce que personne n’a été formé pour le faire.
Le problème ne vient pas d’un manque de volonté. Il vient d’un manque de temps, de budget et de compétences techniques sur place. Un responsable informatique mutualisé entre plusieurs communes intervient parfois une demi-journée par semaine, et la sécurité de la messagerie passe après le dépannage de l’imprimante ou la mise à jour du site web.
Les campagnes de phishing récentes ciblent précisément cette réalité. Le Club de la Sécurité Numérique des Collectivités (CSNC) signale depuis l’été 2026 une augmentation significative des campagnes visant les collectivités territoriales, quelle que soit leur taille. Les attaquants usurpent l’identité d’organismes publics (préfecture, trésorerie, ANSSI elle-même) pour rendre leurs messages crédibles auprès d’agents habitués à traiter ce type de courrier.
Protocoles SPF, DKIM et DMARC : ce que les petites structures n’ont pas encore configuré
On parle souvent de sensibilisation des agents, et c’est nécessaire. Mais la première ligne de défense d’une messagerie reste technique : ce sont les protocoles d’authentification qui permettent de vérifier qu’un email provient bien du serveur autorisé à l’envoyer.
Trois briques complémentaires
- SPF (Sender Policy Framework) : un enregistrement DNS qui liste les serveurs autorisés à envoyer des mails pour un domaine. Sans SPF, n’importe quel serveur peut envoyer un mail en se faisant passer pour votre mairie.
- DKIM (DomainKeys Identified Mail) : une signature cryptographique ajoutée à chaque message sortant, qui garantit que le contenu n’a pas été altéré en transit.
- DMARC (Domain-based Message Authentication, Reporting and Conformance) : une politique qui indique aux serveurs destinataires quoi faire quand un mail échoue aux vérifications SPF ou DKIM (accepter, mettre en quarantaine, rejeter).
Configurer ces trois protocoles ne coûte rien en licence. La difficulté, c’est que beaucoup de structures locales utilisent un nom de domaine géré par un prestataire externe, et que l’accès aux enregistrements DNS n’est pas toujours documenté. On se retrouve avec des domaines municipaux dont personne en interne ne sait modifier la zone DNS.
Les retours varient sur ce point : certaines intercommunalités ont centralisé la gestion DNS et déployé DMARC en quelques semaines, d’autres butent encore sur l’identification du prestataire historique. Le résultat, c’est que des domaines officiels restent usurpables par n’importe quel attaquant.
Compromission de boîte mail : le piège qui coûte le plus cher aux collectivités
Le phishing classique vise à récupérer un identifiant et un mot de passe. Une fois dans la boîte mail d’un agent, l’attaquant ne déclenche pas forcément un rançongiciel immédiatement. Il observe, lit les échanges, repère les fournisseurs, les circuits de validation de paiement.
La phase silencieuse peut durer des semaines. L’attaquant attend le bon moment pour envoyer un faux RIB à la comptabilité, en se faisant passer pour un prestataire connu de la collectivité. Ce type de fraude au virement touche les structures de toutes tailles et ne nécessite aucune compétence technique avancée une fois l’accès à la boîte obtenu.
Quelques réflexes réduisent considérablement le risque :
- Activer l’authentification à deux facteurs sur toutes les boîtes mail professionnelles, y compris les adresses génériques partagées.
- Mettre en place une procédure de contre-appel systématique pour tout changement de coordonnées bancaires d’un fournisseur.
- Vérifier régulièrement les règles de transfert automatique dans les boîtes mail (les attaquants créent souvent une redirection invisible vers une adresse externe).
- Limiter l’accès aux boîtes partagées aux seuls agents qui en ont besoin, avec des mots de passe individuels plutôt qu’un mot de passe unique.
Formation des agents territoriaux : le maillon qui manque encore
On peut configurer tous les protocoles du monde, si un agent clique sur un lien de phishing et saisit ses identifiants sur une page imitant sa messagerie, la chaîne est rompue. La sensibilisation reste le complément obligatoire des mesures techniques.
Le problème terrain, c’est que les formations proposées aux collectivités sont souvent conçues pour des DSI ou des responsables sécurité. Pas pour une secrétaire de mairie qui gère l’état civil, l’urbanisme et la comptabilité sur le même poste. Les supports génériques avec des captures d’écran de Outlook en anglais ne parlent à personne.
Les exercices de simulation de phishing produisent de meilleurs résultats quand ils reproduisent les emails réellement reçus par la structure : convocations préfectorales, notifications de la trésorerie, relances de fournisseurs locaux. L’ANSSI et Cybermalveillance.gouv.fr proposent des ressources adaptées aux collectivités, mais leur diffusion dépend encore largement de la bonne volonté de l’intercommunalité ou du centre de gestion départemental.
Les 218 incidents traités par l’ANSSI en 2024 représentent 14 % de l’ensemble des incidents pris en charge par l’agence cette année-là. Ce chiffre ne couvre que les cas remontés officiellement. Beaucoup de petites communes subissent des compromissions sans jamais les signaler, faute de savoir à qui s’adresser ou par crainte d’un impact sur leur image. La sécurité des emails dans les structures locales progressera le jour où déclarer un incident deviendra aussi naturel que déposer une main courante.
