DDoS

Qu'est-ce qu'une attaque par déni de service distribué (DDoS) ? Définition simple

Une attaque par déni de service distribué, ou Distributed Denial of Service (DDoS), est une cyberattaque qui vise à rendre un site web, une application ou un serveur inaccessible aux utilisateurs légitimes. Contrairement à d’autres attaques qui cherchent à voler des données ou à prendre le contrôle d’un système, le principe repose sur la saturation : un très grand nombre de requêtes est envoyé simultanément vers la cible, dépassant sa capacité de traitement. Le système ne peut alors plus répondre normalement et devient indisponible, parfois pendant plusieurs heures.

Concrètement, l'attaquant mobilise un réseau d'ordinateurs ou d'objets connectés infectés, appelé botnet, pour générer ce flux massif. Ces machines zombifiées agissent à l'insu de leurs propriétaires et peuvent être réparties dans le monde entier. Le terme « distribué » renvoie justement à cette dispersion géographique et technique : l'attaque ne provient pas d'une seule source, mais de milliers, ce qui la rend beaucoup plus difficile à bloquer.

Pour une collectivité territoriale, une attaque DDoS peut paralyser l'accès à internet des services en ligne : site institutionnel, portail de démarches administratives, plateforme d'état civil ou guichets numériques. Les citoyens ne peuvent plus accéder aux informations ni effectuer leurs démarches. Cette interruption affecte la continuité du service en ligne et peut nuire à la confiance des usagers.

Les collectivités territoriales figurent parmi les cibles régulières des cybercriminels et des groupes dits « hacktivistes », notamment en raison de leur visibilité publique, des services essentiels qu’elles assurent et des données qu’elles hébergent. L’ANSSI observe ainsi que les attaques par déni de service font partie des incidents les plus fréquemment signalés par les collectivités françaises

Comment fonctionne une attaque DDoS ? Définition technique

D’un point de vue technique, une attaque DDoS consiste à générer artificiellement un volume de trafic suffisamment important pour empêcher un système d’information de fonctionner normalement. L’attaque peut viser différents composants : la connexion réseau, un serveur, une application web ou encore certains protocoles essentiels au fonctionnement d’internet.

Le cybercriminel exploite d'abord des vulnérabilités logicielles pour infecter un grand nombre d'appareils avec un logiciel malveillant. Ces machines compromises (ordinateurs, serveurs, objets connectés) deviennent des « zombies » formant un botnet, un réseau contrôlé à distance à l'insu de leurs propriétaires.

Certaines attaques cherchent la puissance brute (attaques volumétriques), d’autres exploitent les failles de configuration ou des mécanismes de réponse automatiques (attaques par amplification). Les collectivités doivent donc anticiper plusieurs vecteurs, en mettant en place des protections réseau (pare-feu applicatif, limitation de débit, détection comportementale) et des mécanismes de résilience avec leur prestataire ou opérateur.

Comment se protéger d'une attaque DDoS ?

Les collectivités doivent se préparer à plusieurs types d’attaques DDoS, qui ne ciblent pas toutes les mêmes points faibles. Certaines submergent la bande passante, d’autres visent le serveur ou exploitent des failles applicatives. Pour y faire face, plusieurs dispositifs complémentaires peuvent être activés.

• Le filtrage applicatif (ou pare-feu applicatif) surveille et bloque les requêtes anormales en amont, par exemple celles qui reproduisent sans arrêt la même action ou qui contiennent des structures suspectes. Cette technique distingue les requêtes légitimes des attaques en se basant sur des règles précises.
• La limitation de débit (rate limiting) agit comme un robinet : elle limite le nombre de requêtes autorisées par adresse IP sur une période donnée, ce qui ralentit ou bloque les flux massifs issus d’un botnet.
• La détection comportementale analyse le trafic en temps réel pour identifier les anomalies : pics soudains, volumes inhabituels, ou comportements de navigation irréalistes. Cette technique s’appuie souvent sur des algorithmes d’analyse statistique ou d’intelligence artificielle.
• Enfin, des services de mitigation DDoS proposés par certains hébergeurs filtrent le trafic avant qu’il n’atteigne le serveur web de la collectivité. Ces services redirigent les requêtes vers des centres de nettoyage capables d’absorber l’attaque sans impacter l’infrastructure cible.

Cadre juridique et réglementaire lié au DDoS

Les attaques de type DDoS relèvent du chapitre III du code pénal, consacré aux atteintes aux systèmes de traitement automatisé de données. Les articles 323-1, 323-2 et 323-3 sanctionnent le fait d'accéder ou de se maintenir frauduleusement dans un système informatique, d'entraver au fonctionnement d’un système de traitement automatisé de données et d'introduire frauduleusement des données. Lorsque cette intrusion entraîne une altération du fonctionnement du système, comme c'est le cas lors d'un déni de service, les sanctions sont renforcées : cinq ans d'emprisonnement et 150 000 euros d'amende.

Ces peines concernent aussi bien les pirates informatiques qui orchestrent l'attaque que les cybercriminels qui mettent à disposition les botnets ou les outils permettant de saturer les infrastructures. Si l'infraction est commise en bande organisée, la peine peut atteindre dix ans d'emprisonnement et 300 000 euros d'amende. Le code pénal sanctionne également, à l'article 323-3-1, la simple détention ou mise à disposition d'outils conçus pour commettre ce type d'attaque, sans motif légitime.

Les obligations des collectivités en cas d'attaque DDoS

Lorsqu'une collectivité subit une attaque DDoS, plusieurs obligations réglementaires s'imposent. La première étape consiste à documenter l'incident de manière précise : nature de l'attaque, durée, services impactés, nombre d'usagers affectés.

La collectivité doit ensuite alerter son prestataire informatique ou son hébergeur pour mettre en œuvre les mesures de mitigation. Parallèlement, elle doit déclarer l'incident à l'Agence nationale de la sécurité des systèmes d'information (ANSSI), autorité compétente en matière de cybersécurité.Si l'attaque a entraîné une faille de sécurité exposant des données personnelles (perte de disponibilité, d'intégrité ou de confidentialité), une notification à la CNIL s'impose dans les 72 heures suivant la constatation de la violation, conformément au RGPD. Cette notification doit préciser les catégories de données concernées, le nombre approximatif de personnes affectées et les mesures prises pour limiter les conséquences. Lorsque le risque pour les droits et libertés des personnes est élevé, la collectivité doit également informer directement les usagers concernés.

Enfin, le dépôt d'une plainte auprès des services de police ou de gendarmerie permet d'engager des poursuites pénales contre les auteurs de l'attaque et de faciliter l'enquête judiciaire, notamment grâce aux éléments techniques collectés.