Cyberattaque à l'Association des maires de France : 114 000 lignes d'élus en fuite
Par Rédaction E.T Editalent, publié le 2026-09-07.
Contenu partiellement rédigé par l’IA.
L'Association des maires de France a été visée par une cyberattaque révélée le 4 septembre 2026. Plus de 100 000 lignes de données concernant des élus et des collectivités ont été dérobées, et une partie des mots de passe se trouvait stockée en clair. Pour une commune, la conséquence immédiate n'est pas technique : elle est épistolaire. Les semaines qui viennent vont produire des courriels très crédibles, signés d'un nom d'élu réel, adressés à un secrétariat de mairie réel.
Ce que l'on sait
Le fichier revendiqué contient des identités, des fonctions, des adresses de courriel, des numéros de téléphone et des rattachements à des collectivités. Le point le plus grave n'est pas le volume mais la présence de mots de passe non chiffrés : un identifiant réutilisé sur une messagerie municipale ou un portail de gestion ouvre bien plus qu'un annuaire.
Trois usages sont à anticiper :
- L'usurpation d'élu. Un message signé du maire d'une commune voisine, avec la bonne fonction et le bon numéro, demandant un document ou un virement.
- Le rebond par mot de passe. Le même mot de passe testé automatiquement sur les messageries, les portails de subvention, les outils de délibération.
- La fausse relance institutionnelle. Un courriel imitant une association d'élus ou un service de l'État, avec un lien vers une page de connexion clonée.
Les six mesures à prendre cette semaine
1. Changer les mots de passe des élus et agents référencés
Toute personne inscrite à un service d'association d'élus doit changer son mot de passe, en priorité s'il était utilisé ailleurs. C'est la mesure qui neutralise la fuite.
2. Activer l'authentification à deux facteurs
Sur la messagerie, le parapheur électronique, les portails financiers et les accès à distance. Un mot de passe volé sans second facteur ne vaut rien.
3. Verrouiller la procédure de virement et de changement de RIB
Aucune modification de coordonnées bancaires sans rappel sur un numéro déjà connu, jamais celui figurant dans le message reçu.
4. Prévenir le secrétariat général et l'accueil
Ce sont eux qui reçoivent les demandes. Une note d'une page, avec deux exemples concrets de faux messages, fait plus qu'une charte de dix pages.
5. Ouvrir un canal de signalement
Une adresse unique, une réponse systématique. Sans retour, les signalements cessent au bout de deux semaines.
6. Préparer le message aux administrés
Un texte court, factuel, publié sur le site de la commune : ce que la mairie ne demande jamais par courriel, et le numéro à appeler en cas de doute. Publié avant l'incident, il protège.
La question de fond : la sous-traitance de l'annuaire des élus
Les données d'élus circulent dans de nombreux fichiers : associations, organismes de formation, prestataires de site internet, plateformes de délibération, éditeurs de logiciels métiers. Une commune n'a pas la main sur tous ces traitements, mais elle a la main sur deux choses : la liste de ses prestataires et la clause de notification en cas de violation. Un tableau à jour de qui détient quoi, avec un contact et un délai de notification, se construit en une demi-journée et vaut mieux que n'importe quel audit annuel.
Ce qu'il ne faut pas écrire dans la communication
Trois formulations coûtent cher : « aucune donnée sensible n'est concernée » avant la fin des vérifications, « nos systèmes n'ont pas été touchés » quand la fuite vient d'un tiers, « la situation est maîtrisée » sans élément vérifiable. Une commune qui doit démentir son propre démenti perd plus qu'avec un silence prudent de vingt-quatre heures.
FAQ
Ma commune est-elle concernée si elle n'a rien reçu ?
Possiblement. Les données concernent des élus et des collectivités adhérentes ou inscrites à des services. L'absence de notification individuelle ne signifie pas l'absence de présence dans le fichier.
Faut-il notifier la CNIL ?
La notification incombe au responsable du traitement à l'origine de la fuite. Une commune notifie de son côté si ses propres traitements sont ensuite compromis, dans les 72 heures après en avoir pris connaissance.
Faut-il prévenir les administrés ?
Pas au titre de cette fuite, qui concerne des élus. En revanche, un message de vigilance sur l'hameçonnage est utile, car les campagnes qui suivent visent aussi les habitants.
Que faire d'un courriel signé d'un élu que l'on connaît ?
Ne pas répondre au message. Rappeler la personne sur un numéro déjà enregistré. Une demande urgente et confidentielle est le signal le plus fiable d'une tentative de fraude.
Combien de temps dure le risque ?
Plusieurs mois. Les fichiers volés sont revendus et exploités par vagues successives, souvent après le pic médiatique.
Sources
- BFMTV, L'Association des maires de France victime d'une cyberattaque, plus de 100 000 données d'élus et de collectivités dérobées (4 septembre 2026)
- Cyberattaque.org, Association des maires de France : 114 000 lignes en fuite après une cyberattaque
- MyChromebook, Fuite de données AMF : des mots de passe en clair
Le module communication de crise d'E.T Editalent rédige le message aux administrés et garde la trace de chaque version publiée. Voir les modules.