Hameçonnage
L'hameçonnage (phishing) est un courriel, un SMS ou un appel frauduleux qui usurpe l'identité d'un tiers de confiance pour obtenir mots de passe, données ou virements. Il vise agents et élus et ouvre la voie aux piratages de comptes.
Cette définition couvre également les termes :
- phishing
- spear phishing
- smishing
Définitions
Définition simple : qu'est-ce que l'hameçonnage (phishing) ?
L'hameçonnage, ou phishing, désigne une technique frauduleuse qui consiste à envoyer un courriel, un SMS ou un appel qui usurpe l'identité d'un tiers de confiance, afin d'inciter la victime à communiquer ses identifiants, ses données personnelles ou bancaires, ou à effectuer un paiement. Pour une collectivité, agents et élus en sont les premières cibles.
Le message imite une banque, un opérateur, un fournisseur, une administration, un élu ou un collègue de travail. Il crée une urgence et renvoie vers une copie du site officiel où la victime saisit son mot de passe. Les attaquants exploitent ensuite le compte volé pour piéger d'autres destinataires, détourner un paiement ou s'introduire dans le système d'information.
Les enjeux de l'hameçonnage pour les collectivités
En 2025, l'hameçonnage figure au premier rang des menaces tous publics confondus selon Cybermalveillance.gouv.fr, en hausse de 70 %. Pour les collectivités et administrations, il représente 19,2 % des demandes d'assistance, juste derrière le piratage de compte (20,1 %), qu'il alimente souvent. La fraude au virement, qui passe fréquemment par un faux message de fournisseur, y progresse de 262 %.
La prévention repose d'abord sur les personnes : sensibilisation des agents et des élus, exercices réguliers, consigne de transférer tout message suspect au service informatique. Elle se complète par des mesures techniques (authentification multifacteur, filtrage de la messagerie) et par un réflexe de signalement auprès des canaux officiels : 17Cyber, Signal Spam, 33700, Pharos. Selon le dispositif national d'assistance, seules 14 % des collectivités se déclarent bien préparées face aux cyberattaques.
Définition technique : comment fonctionne une attaque par hameçonnage
Une attaque suit quatre étapes. Préparation : l'attaquant collecte des adresses et des informations publiques ou issues de fuites de données, puis enregistre un nom de domaine proche de l'officiel (un caractère modifié suffit) et clone la page de connexion visée. Envoi : courriel, SMS (smishing) ou appel, en masse ou ciblé sur une personne (spear phishing). Capture : la victime saisit ses identifiants sur la fausse page, ouvre une pièce jointe piégée ou valide un paiement. Exploitation : connexion au compte, création de règles de transfert, envoi de nouveaux messages depuis une adresse légitime, accès initial au réseau.
Les contre-mesures techniques se répartissent en trois couches :
- messagerie : filtre anti-pourriel, analyse des pièces jointes, protocoles d'authentification de l'expéditeur SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) et DMARC (Domain-based Message Authentication, Reporting and Conformance), qui réduisent l'usurpation du nom de domaine de la collectivité ;
- identité : authentification multifacteur, alerte sur les connexions inhabituelles, mots de passe différents par service ;
- détection : journaux de connexion, bouton de signalement dans le client de messagerie, blocage des sites frauduleux signalés à Phishing Initiative.
Indicateurs usuels : taux de clic et taux de signalement lors des campagnes d'exercice, délai entre réception et signalement, part des comptes protégés par authentification multifacteur.
Définition juridique et réglementaire de l'hameçonnage
Les infractions pénales
Aucun texte ne définit l'hameçonnage en tant que tel : il se poursuit sous plusieurs qualifications du code pénal. L'escroquerie (article 313-1) est punie de cinq ans d'emprisonnement et de 375 000 euros d'amende. La collecte de données personnelles par un moyen frauduleux, déloyal ou illicite (article 226-18) est punie de cinq ans et de 300 000 euros. L'accès frauduleux à un système de traitement automatisé de données (article 323-1, modifié par la loi n° 2023-22 du 24 janvier 2023) est puni de trois ans et de 100 000 euros, cinq ans et 150 000 euros en cas d'altération des données. L'usurpation d'identité (article 226-4-1) est punie d'un an et de 15 000 euros.
Les obligations de la collectivité victime
Si l'hameçonnage entraîne une violation de données personnelles, l'article 33 du règlement (UE) 2016/679 (RGPD) impose de la notifier à la Commission nationale de l'informatique et des libertés (CNIL) dans les 72 heures, sauf risque improbable pour les personnes ; l'article 34 impose d'informer les personnes en cas de risque élevé. La collectivité documente toute violation et dépose plainte.
Le blocage des noms de domaine malveillants
L'article L. 2321-2-3 du code de la défense, créé par l'article 64 de la loi n° 2023-703 du 1er août 2023, autorise l'Agence nationale de la sécurité des systèmes d'information (ANSSI) à demander le blocage, la redirection ou la suspension de noms de domaine utilisés à des fins malveillantes.
| Cas d’usage | Description | Bénéfices pour les collectivités |
|---|---|---|
| Sensibiliser les agents par la mise en situation | Deux collectivités créent un jeu en ligne de 40 minutes dont l'un des trois scénarios, inspirés de situations réelles, entraîne les agents à repérer les tentatives d'hameçonnage. Le dispositif est déployé auprès de 2 700 agents et de 76 communes membres. Retour d'expérience. | Des agents qui repèrent et signalent les messages frauduleux. |
| Orienter les victimes vers une réponse de proximité | Une Région met en place un centre régional de réponse aux incidents (CSIRT) assurant un premier niveau d'assistance aux organisations touchées. Le dispositif travaille en lien avec Cybermalveillance.gouv.fr et 17Cyber, tout en développant des actions de sensibilisation aux risques d'hameçonnage auprès des acteurs du territoire. Retour d'expérience. | Une aide rapide pour les collectivités et entreprises du territoire. |
| Organiser des campagnes d'exercice | Une collectivité envoie périodiquement à ses agents de faux messages d'hameçonnage, mesure les taux de clic, d'ouverture et de signalement, puis adapte ses actions de sensibilisation en fonction des services les plus exposés. Retour d'expérience à venir sur ce cas d'usage. | Une vigilance mesurée et suivie dans le temps. |
| Protéger la messagerie et le nom de domaine | Une collectivité renforce la sécurité de sa messagerie grâce à l'authentification multifacteur et met en œuvre les protocoles SPF, DKIM et DMARC afin de limiter les risques d'usurpation de son domaine de messagerie et de protéger les échanges avec les usagers et partenaires. Retour d'expérience à venir sur ce cas d'usage. | Des usagers et fournisseurs protégés des faux messages envoyés au nom de la collectivité. |
