Menace cyber russe : dix mesures concrètes pour les sites de collectivités et les sites sensibles

Par Rédaction E.T Editalent, publié le 2026-09-04.

Contenu partiellement rédigé par l’IA.

Illustration : Menace cyber russe : dix mesures concrètes pour les sites de collectivités et les sites sensibles

La menace n'est ni hypothétique ni lointaine. En mars 2025, l'ANSSI décrivait déjà des opérations russes « désinhibées » contre des cibles françaises. En avril 2025, l'attribution officielle est tombée : le renseignement militaire russe est à l'origine de plusieurs cyberattaques visant des entités françaises, dont des collectivités territoriales. Depuis, la pression n'est pas retombée, et l'été 2026 l'a rappelé aux administrations.

Cet article ne relève pas de la géopolitique. Il liste ce qu'une commune, un EPCI ou un opérateur de site sensible peut mettre en place dès maintenant, avec des moyens ordinaires.

Trois modes opératoires à distinguer

Confondre ces trois logiques conduit à mal calibrer sa défense.

1. Le hacktivisme de nuisance. Attaques par déni de service (DDoS) contre des sites de mairies, de préfectures, d'hôpitaux ou d'opérateurs de transport. L'objectif n'est pas de voler : c'est de rendre le site indisponible et d'en faire une capture d'écran diffusée sur les réseaux. Faible sophistication, fort effet médiatique.

2. La défiguration et la manipulation d'information. Remplacement d'une page, publication d'un faux communiqué, création d'un site miroir imitant celui de la collectivité. Le préjudice est réputationnel et démocratique, particulièrement sensible en période électorale.

3. L'intrusion durable et l'espionnage. Compromission de comptes, latence longue dans le système d'information, exfiltration silencieuse. C'est le mode opératoire attribué à des acteurs étatiques, et le plus difficile à détecter.

Ce qui rend une collectivité vulnérable

  • Un site vitrine ancien, sous CMS non mis à jour, avec des extensions abandonnées.
  • Un hébergement mutualisé sans protection anti-DDoS ni pare-feu applicatif.
  • Des comptes d'administration partagés entre plusieurs agents ou prestataires.
  • Aucune sauvegarde testée, ou des sauvegardes stockées sur le même serveur que le site.
  • Une messagerie sans authentification d'expéditeur, qui permet d'usurper l'adresse de la mairie.

Le plan en dix mesures, par ordre de rentabilité

Protéger le site public

  1. Activer un service anti-DDoS et un pare-feu applicatif devant le site. C'est la seule parade réaliste contre les vagues hacktivistes, et cela se souscrit auprès de l'hébergeur.
  2. Mettre à jour le CMS et supprimer les extensions inutilisées. La majorité des défigurations exploitent une extension oubliée.
  3. Séparer le site de la production. Le site public ne doit partager ni serveur, ni base de données, ni identifiants avec les applications métier de la collectivité.
  4. Sauvegarder hors ligne, et tester la restauration. Une sauvegarde jamais restaurée n'est pas une sauvegarde. L'exercice se fait une fois par an, chronomètre en main.
  5. Publier une page d'état de service hébergée ailleurs que le site principal, pour informer les habitants quand le site tombe.

Protéger les accès

  1. Authentification à deux facteurs obligatoire pour tous les comptes d'administration, agents, élus et prestataires compris. C'est la mesure au meilleur rapport effort / efficacité.
  2. Un compte nominatif par personne, jamais de compte « mairie » partagé, et fermeture immédiate des comptes à chaque départ.
  3. Journalisation activée et conservée, pour disposer de traces exploitables en cas d'incident.

Protéger la parole publique

  1. Authentifier la messagerie (SPF, DKIM, DMARC) pour empêcher l'usurpation de l'adresse de la mairie dans des courriels frauduleux.
  2. Préparer un protocole de démenti : qui est habilité à parler, sur quel canal de secours, avec quel message type. Un faux communiqué se combat en minutes, pas en jours.

Le volet information : le maillon le plus faible

Une attaque informationnelle ne vise pas le serveur, elle vise la confiance. Faux arrêté municipal, fausse déclaration attribuée à un élu, extrait vidéo manipulé : la riposte tient à trois éléments.

  • Un canal officiel identifié et connu des habitants, qui fait foi en cas de contradiction.
  • Une capacité de publication rapide, y compris le week-end.
  • Une traçabilité des contenus publiés, avec horodatage, pour prouver ce que la collectivité a réellement diffusé.

Sites sensibles : le cran au-dessus

Pour un hôpital, un service de l'eau, un réseau de transport ou une régie d'énergie, quatre exigences s'ajoutent :

  • Segmentation stricte entre systèmes d'information de gestion et systèmes industriels.
  • Procédure de fonctionnement en mode dégradé testée avec les équipes opérationnelles.
  • Contact établi à l'avance avec le CERT-FR, avant l'incident et non pendant.
  • Clauses de sécurité et de réversibilité dans chaque contrat de prestataire.

Ce qui arrive dans le calendrier réglementaire

La transposition française de la directive NIS2, portée par le projet de loi dit de résilience, étendra des obligations de cybersécurité aux communes au-delà d'un seuil de population, ainsi qu'aux EPCI, départements et régions. Le calendrier a glissé plusieurs fois, mais le périmètre est connu. Attendre la publication du décret pour commencer, c'est déjà être en retard sur les mesures les plus simples, qui sont aussi les plus utiles.

FAQ

Une petite commune est-elle vraiment une cible ?

Oui, pour deux raisons : elle est peu défendue, et elle est raccordée à des systèmes plus grands. Les attaquants ne cherchent pas la commune, ils cherchent l'accès le moins protégé.

Que faire dans l'heure qui suit une attaque ?

Isoler la machine ou le service touché sans l'éteindre, prévenir la direction et le référent cyber, signaler au CERT-FR, et ne rien publier avant d'avoir un constat établi.

Faut-il payer une rançon ?

Non. Le paiement ne garantit ni la restitution des données ni leur non-diffusion, et il finance la filière. La position constante des autorités françaises est de ne pas payer et de déposer plainte.

Sources

E.T Editalent accompagne les services de communication publique dans la rédaction et la vérification de leurs messages de crise, avec traçabilité des sources et conformité typographique.

Retour au blog