Attaque au filet
Une attaque au filet, ou attaque opportuniste, est une cyberattaque lancée à grande échelle et de façon automatisée contre tous les systèmes qui présentent une faille connue, sans choisir de victime : toute collectivité exposée sur Internet peut être touchée.
Cette définition couvre également les termes :
- attaque opportuniste
- attaque non ciblée
- attaque de masse
- attaque massive à propagation automatique
- pêche au chalut
Définitions
Définition simple : qu'est-ce qu'une attaque au filet ?
Une attaque au filet, ou attaque opportuniste, est une cyberattaque lancée de façon massive et automatisée contre tous les systèmes qui présentent une même faille, sans viser de victime précise. Comme un filet de pêche, elle ramasse tout ce qu'elle trouve : une mairie de 2 000 habitants autant qu'un grand département.
Elle s'oppose à l'attaque ciblée, préparée contre une organisation choisie pour sa taille ou ses moyens, que les spécialistes nomment « chasse au gros gibier ». L'Agence nationale de la sécurité des systèmes d'information (ANSSI) indique que les collectivités sont visées « de façon opportuniste par l'ensemble des acteurs de l'écosystème cybercriminel ». L'expression « attaque au filet » est une image : les textes officiels parlent d'attaque opportuniste ou d'attaque massive à propagation automatique.
Les enjeux de l'attaque au filet pour les collectivités
Comprendre ce mécanisme change le regard des élus : une petite commune n'est pas trop modeste pour intéresser les attaquants, elle est touchée parce qu'elle est exposée. En 2024, l'ANSSI a traité 218 incidents touchant des collectivités, soit 18 par mois, dont 25 attaques par rançongiciel. La compromission de comptes de messagerie, souvent issue d'un hameçonnage de masse, représentait à elle seule 30 % des événements signalés, et les intrusions passaient surtout par des failles d'équipements exposés à Internet.
La bonne nouvelle tient au même mécanisme : l'attaquant opportuniste cherche les cibles les moins protégées. Des gestes de base, mises à jour, sauvegardes et vigilance des agents, écartent donc la plupart de ces attaques. Les retours d'expérience de Numérique360 montrent deux collectivités qui forment leurs agents par le jeu et une région qui épaule les petites structures touchées.
Définition technique : mécanisme d'une attaque opportuniste
L'attaque au filet repose sur l'automatisation. Des outils de balayage parcourent Internet en continu et repèrent les équipements exposés vulnérables : pare-feu, passerelles d'accès à distance, messageries, accès au bureau à distance. Dès qu'une vulnérabilité est publiée, des scripts l'exploitent en quelques heures sur des milliers de cibles. En parallèle, des campagnes d'hameçonnage de masse et des essais automatiques d'identifiants volés, souvent dérobés par des logiciels espions, ouvrent d'autres portes.
Une fois l'accès obtenu, l'attaquant évalue sa prise : il chiffre les données avec un rançongiciel, les exfiltre, utilise la messagerie pour piéger d'autres victimes ou revend l'accès. Une collectivité compromise peut ainsi servir de rebond vers ses partenaires interconnectés. Chaque tentative coûtant presque rien à l'attaquant, il lui suffit qu'une petite part des cibles soit vulnérable pour que la campagne soit rentable.
Les indicateurs de protection sont le délai d'application des correctifs critiques (en jours), le nombre de services exposés sur Internet, la part des comptes protégés par double authentification (en %), le taux de clic lors des campagnes d'hameçonnage simulées (en %) et la date du dernier test de restauration des sauvegardes. En 2024, la compromission de comptes de messagerie représentait 30 % des événements signalés par les collectivités.
Définition juridique et réglementaire de l'attaque au filet
Une notion technique, une infraction pénale
Le droit ne distingue pas l'attaque opportuniste de l'attaque ciblée. Les articles 323-1 et suivants du Code pénal répriment l'accès et le maintien frauduleux dans un système de traitement automatisé de données, l'entrave à son fonctionnement et l'altération des données, que la victime ait été choisie ou non. La tentative est punie des mêmes peines (article 323-7 du même code), ce qui couvre une intrusion déjouée. La collectivité victime dépose plainte, ce qui conditionne aussi l'indemnisation par son assureur.
Les obligations de la collectivité victime
Le règlement général sur la protection des données (RGPD) impose de sécuriser les traitements et de notifier à la Commission nationale de l'informatique et des libertés (CNIL), sous 72 heures, toute violation de données personnelles présentant un risque. Depuis la loi du 24 janvier 2023 d'orientation et de programmation du ministère de l'Intérieur, l'indemnisation d'une rançon par l'assurance suppose une plainte déposée sous 72 heures.
La directive NIS 2
Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose la directive européenne NIS 2, n'était pas encore adopté au 30 septembre 2026. Il prévoit, pour une partie des collectivités, des mesures de gestion des risques et l'obligation de signaler les incidents importants à l'Agence nationale de la sécurité des systèmes d'information (ANSSI).
Cas d'usage de la protection contre les attaques au filet pour les collectivités
| Cas d’usage | Description | Bénéfices pour les collectivités |
|---|---|---|
| Apprendre aux agents à repérer l'hameçonnage | Une agglomération et une métropole conçoivent ensemble un jeu de quarante minutes, en trois scénarios inspirés de cas réels dont l'hameçonnage et les mots de passe, qui sensibilise 2 700 agents pour 3 000 euros hors taxes. Retour d'expérience . |
Des agents qui ferment la porte d'entrée la plus fréquente. |
| Obtenir de l'aide après une attaque | Une région soutient un centre régional de cybersécurité qui joue le rôle de « Samu du numérique » : premier niveau d'aide, orientation vers des prestataires de confiance et prévention pour 250 structures par an. Retour d'expérience . |
Des petites structures qui ne restent pas seules face à l'attaque. |
| Corriger en priorité les équipements exposés | Une intercommunalité recense ses équipements visibles depuis Internet, suit les vulnérabilités publiées dans les bases européennes et applique les correctifs critiques sous quelques jours. Retour d'expérience à venir sur ce cas d'usage. | Une surface d'attaque réduite au strict nécessaire. |
