« Un Constat, une Proposition ! » - PoliActu du PoliMedi@
🔎 Focus : Cyberattaque contre l'AMF, plus de 114 000 données d'élus et d'agents territoriaux exposées
Le vendredi 4 septembre 2026, l'Association des maires de France et des présidents d'intercommunalité (AMF) a confirmé avoir été victime d'une fuite de données, révélée au même moment par le site spécialisé French Breaches et revendiquée sur un forum cybercriminel par un pirate se présentant sous le nom d'« Alduin ». Selon ces premières révélations, plus de 114 000 entrées concernant des maires, des élus, des directeurs généraux des services, des responsables RH, des juristes ou des agents territoriaux auraient été extraites après une injection SQL sur le site amf.asso.fr - dont une table contenant des identifiants associés à des mots de passe stockés en clair. L'ampleur exacte et l'origine de l'intrusion restent à confirmer par les autorités, mais cette fuite dessine une cartographie précise de la sphère publique locale, un terreau rêvé pour des attaques d'ingénierie sociale, de fraude au président ou d'usurpation d'un élu. Une question se pose : nos collectivités sont-elles prêtes à faire face à ce type de menace ?
Constat. Les faits documentés d'abord : le 4 septembre, l'AMF a confirmé une cyberattaque, et le pirate « Alduin » a revendiqué l'extraction de plus de 114 000 entrées via une injection SQL de type UNION sur le site amf.asso.fr. Les fichiers diffusés contiennent noms, prénoms, adresses électroniques, fonctions précises (maires, adjoints, directeurs généraux des services, responsables RH, juristes, agents territoriaux) et collectivités de rattachement, ainsi qu'une table où des mots de passe sont enregistrés en clair. Cette conjonction de données - qui permet à elle seule d'associer une personne à un poste, à une commune et à des identifiants - est un matériau idéal pour des campagnes d'ingénierie sociale, des faux ordres de virement ou des usurpations d'élus. La prudence s'impose toutefois dans les deux sens : l'origine exacte de la faille, la validité actuelle des comptes et même le nombre de victimes distinctes ne sont pas confirmés officiellement, plusieurs tables pouvant se recouper. L'AMF, qui sensibilise elle-même les communes à la cybersécurité, doit donc assurer la transparence sur l'étendue réelle de la fuite et sur les mesures prises pour protéger les personnes concernées. Une question ouverte : à qui confions-nous les données de nos communes, et qui les protège lorsqu'elles sont exposées ?
Proposition. Plutôt que de réagir dans l'urgence, traiter la cause racine : la cybersécurité des collectivités est restée un angle mort, faute de moyens mutualisés et de formation systématique des élus et des agents. La proposition est de bâtir un « plan de souveraineté numérique des collectivités » : un guichet unique appuyé sur l'ANSSI et les centres de réponse régionaux pour accompagner les communes - surtout les plus petites - avant, pendant et après une attaque ; l'obligation de généraliser la double authentification et de bannir le stockage des mots de passe en clair dans toute application publique ; et une exigence légale de transparence obligeant chaque collectivité à déclarer les fuites à la CNIL et à informer clairement ses administrés. C'est une autre forme de souveraineté : une démocratie locale qui veut se protéger des manipulateurs doit d'abord protéger les données de ceux qui la font vivre - en traitant la sécurité comme un service public, et non comme une option technique.
Face à la multiplication des attaques, des collectivités et des associations d'usagers pourraient lancer des « veilles citoyennes du numérique municipal » : des habitants et des agents bénévoles, formés à l'hygiène numérique, organiseraient dans chaque commune des ateliers d'initiation pour apprendre à utiliser un gestionnaire de mots de passe, activer la double authentification et repérer un message de phishing. Ces veilleurs pourraient aussi inciter les élus à adopter des chartes de bonnes pratiques, à publier en « langage clair » les mesures de protection de leurs données et à organiser régulièrement des exercices d'attaque simulée supervisés par des professionnels. Ils rappelleraient que la sécurité numérique n'est pas une affaire de techniciens, mais une responsabilité partagée entre la mairie et ses habitants - et que le premier rempart contre l'ingénierie sociale reste un citoyen averti.
C'est, selon la revendication du pirate « Alduin » et l'analyse du site French Breaches, le nombre d'entrées exposées dans la fuite touchant l'AMF : des profils de maires, d'élus et d'agents territoriaux, associés à des fonctions et à des collectivités, et dans certains cas à des mots de passe en clair. Un chiffre à lire avec prudence : plusieurs tables peuvent contenir les mêmes personnes, et seul un audit officiel dira combien de personnes sont réellement touchées. Il donne néanmoins la mesure d'un risque structurel : dès lors que des identifiants circulent, toute la chaîne des services locaux peut devenir un point d'entrée pour de nouvelles attaques.
Il y a quelque chose de vertigineux dans ce contraste : les institutions les plus proches du citoyen, celles qui abritent nos états civils, nos écoles et nos délibérations, sont aussi celles que nous avons le moins protégées. Un mot de passe conservé en clair en 2026 n'est pas seulement une négligence technique : c'est le symptôme d'un choix collectif, celui de sous-investir dans ce qui ne se voit pas tant qu'il n'a pas cédé. La souveraineté numérique ne commence pas dans les sommets de l'État, mais au guichet de la plus petite mairie, là où une identité usurpée peut ébranler la confiance d'un village entier. Protéger les données publiques, c'est protéger le lien démocratique lui-même : une république qui néglige ses communes dispose très mal de toutes ses autres forteresses.
- Guillaume Poupard, alors directeur général de l'ANSSI, devant le Sénat, rapport sur la cybersécurité des collectivités (2020)
Mots clés : collectivités · cybersécurité · données · usurpation · souveraineté. Six ans plus tard, cette mise en garde de l'ancien patron de l'agence nationale n'a rien perdu de sa vigueur : la fuite touchant l'AMF le 4 septembre 2026 montre que les collectivités, devenues des « cibles de choix » pour les cybercriminels, demeurent structurellement sous-protégées. Une parole d'autorité à méditer sans fatalisme : la vigilance et la formation peuvent transformer ces institutions fragiles en remparts, à condition d'en faire une priorité collective plutôt qu'une dépense de plus.
📚 Sources : Le Parisien, cyberattaque.org, French Breaches.com, stephanelarue.com (4 et 5 septembre 2026).
