Cyberattaque
Une cyberattaque est une action malveillante menée à distance contre le système d'information d'une collectivité : hameçonnage, piratage de compte, rançongiciel ou déni de service. Elle interrompt des services publics et expose les données des usagers.
Cette définition couvre également les termes :
- attaque informatique
- attaque cyber
Définitions
Définition simple : qu'est-ce qu'une cyberattaque ?
Une cyberattaque désigne une action malveillante menée à distance contre le système d'information d'une collectivité territoriale, afin de voler, bloquer, modifier ou détruire ses données, ou de rendre ses services numériques indisponibles, le plus souvent pour obtenir une rançon, espionner ou déstabiliser.
Elle prend des formes variées : hameçonnage d'un agent, piratage d'un compte de messagerie, rançongiciel qui chiffre les serveurs, déni de service distribué (DDoS) qui sature le site internet, défiguration d'une page publique. Les collectivités détiennent des données sensibles (état civil, paie, action sociale, listes électorales) et disposent souvent de moyens informatiques limités, ce qui en fait des cibles fréquentes.
Les enjeux d'une cyberattaque pour les collectivités
En 2025, 5 078 collectivités et administrations ont eu recours à l'assistance de Cybermalveillance.gouv.fr, soit 141 collectivités territoriales sur 1 000, contre 7 particuliers sur 1 000. La même année, les ministères et les collectivités représentent 24 % des 1 366 incidents traités par l'Agence nationale de la sécurité des systèmes d'information (ANSSI). Une lettre ouverte aux maires, relayée par Cybermalveillance.gouv.fr en novembre 2025, indique que seules 14 % des collectivités se déclarent bien préparées.
Une attaque réussie interrompt des services publics, parfois pendant plusieurs semaines, expose les données des usagers et engage la responsabilité de la collectivité. La prévention repose sur des mesures connues : sauvegardes hors ligne testées, authentification multifacteur, mises à jour, sensibilisation des agents et plan de réponse préparé à l'avance.
Les retours d'expérience de Numérique360 montrent trois leviers : un jeu de sensibilisation des agents conçu par deux collectivités, un centre régional de réponse aux incidents porté par une Région, un centre de données départemental qui sécurise les données des communes rurales.
Définition technique : types et déroulé d'une cyberattaque
Une cyberattaque ciblée suit une chaîne en cinq étapes. Reconnaissance : repérage des adresses, des agents et des équipements exposés sur internet. Accès initial : hameçonnage, identifiants volés ou exploitation d'une vulnérabilité sur un VPN (réseau privé virtuel), un pare-feu ou une messagerie. Installation : élévation de privilèges et désactivation des protections. Déplacement latéral : prise de contrôle de l'annuaire et des serveurs. Action : chiffrement, exfiltration de données, déni de service ou défiguration.
La porte d'entrée technique la plus exploitée est la bordure du réseau : en 2024, plus de la moitié des opérations de cyberdéfense de l'ANSSI (Agence nationale de la sécurité des systèmes d'information) ont eu pour origine des vulnérabilités sur des équipements de sécurité situés en bordure de système d'information. Côté usagers de l'assistance, les collectivités et administrations ont sollicité Cybermalveillance.gouv.fr en 2025 d'abord pour un piratage de compte (20,1 % des parcours), un hameçonnage (19,2 %) et un rançongiciel (13,1 %).
La défense combine l'authentification multifacteur, l'application des correctifs sous quelques jours pour les équipements exposés, un EDR (détection et réponse sur les postes), la journalisation centralisée, la supervision par un SOC (centre opérationnel de sécurité) mutualisé et des sauvegardes hors ligne testées. En cas d'incident grave, le CERT-FR, centre de réponse aux incidents de l'ANSSI, répond au 3218.
Définition juridique et réglementaire de la cyberattaque
Une infraction pénale
Les articles 323-1 à 323-8 du code pénal répriment les atteintes aux systèmes informatiques. L'accès ou le maintien frauduleux est puni de trois ans d'emprisonnement et de 100 000 euros d'amende (article 323-1). L'entrave au fonctionnement d'un système (article 323-2) et l'introduction, l'extraction ou la modification frauduleuse de données (article 323-3) sont punies de cinq ans et de 150 000 euros. L'article 323-4-2 porte la peine à dix ans et 300 000 euros si l'attaque expose autrui à un risque immédiat de mort ou fait obstacle aux secours.
Des délais de 72 heures
L'article 33 du règlement général sur la protection des données (RGPD) impose de notifier à la Commission nationale de l'informatique et des libertés (CNIL) toute violation de données personnelles sous 72 heures ; l'article 34 impose d'informer les personnes en cas de risque élevé. L'article L12-10-1 du code des assurances, créé par la loi n° 2023-22 du 24 janvier 2023, subordonne l'indemnisation par l'assureur à une plainte déposée au plus tard 72 heures après la connaissance de l'attaque.
La responsabilité de la collectivité
La collectivité victime peut voir engagée sa responsabilité administrative, et ses élus ou agents leur responsabilité pénale, par exemple au titre de l'article 226-17 du code pénal. La directive (UE) 2022/2555, dite NIS 2, étendra des obligations de gestion des risques à une partie des collectivités ; sa loi de transposition restait en discussion au Parlement en septembre 2026.
| Cas d’usage | Description | Bénéfices pour les collectivités |
|---|---|---|
| Entraîner les agents aux attaques les plus fréquentes | Deux collectivités conçoivent un jeu interactif d'une quarantaine de minutes qui met les agents face à trois scénarios : virus introduit par clé USB, hameçonnage et qualité des mots de passe. Retour d'expérience. |
Des agents qui repèrent un hameçonnage avant qu'il ne devienne un incident. |
| Disposer d'un premier recours après une attaque | Une Région crée un centre régional de réponse aux incidents, présenté comme un « Samu du numérique », qui oriente les collectivités, associations et entreprises victimes vers des prestataires de confiance. Retour d'expérience. |
Une aide de proximité dans les premières heures de la crise. |
| Mettre à l'abri les données des petites communes | Un Département héberge dans son propre centre de données les données administratives des communes rurales, souvent stockées sur un seul ordinateur de mairie, et leur fournit une messagerie professionnelle sécurisée. Retour d'expérience. |
Des communes sans informaticien moins exposées à la perte de leurs données. |
| S'exercer à la gestion de crise | Une collectivité simule une cyberattaque avec sa cellule de crise, teste la restauration de ses sauvegardes et met à jour ses fiches réflexes. Retour d'expérience à venir sur ce cas d'usage. | Une chaîne de décision connue avant la crise réelle. |
