Faux courriels au nom des mairies : cinq mesures pour protéger la signature de la commune
Par Rédaction E.T Editalent, publié le 2026-09-08.
Contenu partiellement rédigé par l’IA.
Plusieurs communes des Vosges ont alerté début septembre 2026 sur une vague de faux courriels envoyés en leur nom à des entreprises et à des partenaires. Le procédé ne relève pas du piratage informatique : il suffit d'un nom d'élu, d'un logo récupéré sur le site de la mairie et d'une adresse ressemblante. Le préjudice, lui, est bien réel, et il retombe sur la commune usurpée.
Comment fonctionne l'usurpation d'une mairie
L'expéditeur crée une adresse proche de l'officielle, reprend la signature type d'un service, cite une délibération réelle et demande un devis, un règlement ou un changement de coordonnées bancaires. Le destinataire, souvent une entreprise locale, n'a aucune raison de douter : tout ce qui figure dans le message est public.
Le contexte aggrave le risque. Les fuites de données visant des annuaires d'élus fournissent désormais des fonctions, des numéros et des adresses vérifiées, ce qui rend ces messages beaucoup plus crédibles qu'il y a un an.
Cinq mesures qui protègent la signature de la commune
1. Publier ce que la mairie ne fait jamais
Une page courte sur le site, en accès direct : la commune ne demande jamais de règlement par courriel, ne change pas ses coordonnées bancaires par message, et voici le numéro à appeler en cas de doute. Ce texte, publié avant l'incident, est le meilleur bouclier.
2. Verrouiller la procédure de changement de RIB
Aucune modification de coordonnées bancaires sans rappel sur un numéro déjà connu, jamais celui indiqué dans le message reçu. Cette règle unique élimine la majorité des fraudes au virement.
3. Renforcer l'authentification du domaine de messagerie
Les mécanismes d'authentification du courrier électronique réduisent la capacité d'un tiers à écrire au nom du domaine de la commune. Ce réglage se demande au prestataire qui héberge la messagerie et se vérifie en une heure.
4. Ouvrir un canal de signalement pour les entreprises locales
Une adresse unique, annoncée dans le bulletin municipal et sur le site, avec une réponse systématique. Sans retour, les signalements s'arrêtent au bout de quinze jours.
5. Former l'accueil et le secrétariat en une page
Deux exemples concrets de faux message, la règle du rappel, le nom de la personne à prévenir. Une note d'une page lue vaut mieux qu'une charte de dix pages classée.
Ce qu'il faut faire quand l'usurpation a déjà eu lieu
Publier un avertissement daté sur le site et les réseaux de la commune, prévenir les partenaires habituels par un canal distinct de la messagerie, déposer plainte, et conserver les messages reçus avec leurs en-têtes complets. La rapidité de la publication compte plus que sa longueur : un texte de dix lignes en ligne dans l'heure protège mieux qu'un communiqué complet le lendemain.
FAQ
La mairie est-elle responsable si une entreprise paie une fausse facture ?
La responsabilité relève de l'enquête, mais la commune a intérêt à démontrer qu'elle a averti ses partenaires et sécurisé ses procédures. C'est ce que regardent l'assureur et le juge.
Faut-il notifier la CNIL ?
Une usurpation d'identité sans accès aux systèmes de la commune n'est pas nécessairement une violation de données personnelles. Si des données détenues par la mairie ont été consultées ou exfiltrées, la notification intervient dans les soixante-douze heures.
Faut-il prévenir les administrés ou seulement les entreprises ?
Les deux. Les mêmes campagnes visent ensuite les habitants, avec de fausses relances de taxes ou d'inscriptions scolaires.
Comment reconnaître un faux courriel de mairie ?
L'urgence, la confidentialité demandée, un changement de coordonnées bancaires et une adresse de réponse différente de l'adresse d'envoi. Trois de ces signaux réunis suffisent à interrompre l'échange.
Que faire du message reçu ?
Ne pas y répondre, ne pas cliquer, le transmettre au service informatique ou au référent avec l'en-tête complet, puis rappeler l'expéditeur supposé sur un numéro déjà enregistré.
Sources
- Remiremont Vallées, Plusieurs mairies des Vosges alertent sur une vague de faux courriels (3 septembre 2026)
- Cyberattaque.org, Association des maires de France : 114 000 lignes en fuite après une cyberattaque
- CERT-FR, Cert national et gouvernemental français
Le module rédaction municipale d'E.T Editalent produit l'avis aux administrés et la note interne à partir des mêmes éléments. Voir les modules.