Le 14 octobre 2026, des habitants de Saillans, dans la Drôme, ont reçu un courriel de leur mairie. Il leur réclamait le paiement d’une facture, avec un lien vers un PDF. Le message venait bien de l’adresse officielle de la commune, et il était faux : la boîte avait été piratée. La préfecture a prévenu la mairie, qui a publié une alerte, demandé aux habitants de ne rien payer et annoncé une plainte. Au moins un habitant aurait payé.
Saillans compte environ 1 500 habitants. Sa mairie ressemble à des milliers d’autres : un secrétariat réduit, une messagerie hébergée chez un fournisseur grand public ou par l’intermédiaire d’un prestataire, et une adresse que tout le village connaît.
Pourquoi la boîte mail d’une mairie vaut si cher
Un escroc qui prend la main sur une messagerie communale gagne bien plus qu’un accès. Il emprunte la confiance que les habitants accordent à leur mairie. Un message « de la mairie » qui parle de facture de cantine ou d’eau sera ouvert, lu, et parfois payé.
La boîte contient aussi des années d’échanges : demandes d’état civil, dossiers d’aide sociale, courriers d’administrés, pièces jointes avec des copies de pièces d’identité. Rien ne permet d’affirmer que l’historique de Saillans a été consulté ou copié. Mais dans ce type d’attaque, la question doit être posée et instruite.
Les gestes des premières heures
- Reprendre la main. Changer le mot de passe depuis un autre poste que celui qui a pu être compromis, fermer toutes les sessions ouvertes, activer la double authentification.
- Chercher les pièges laissés. Les attaquants créent souvent une règle de transfert automatique ou une redirection pour continuer à lire les messages après le changement de mot de passe. Vérifier les règles, les transferts, les applications autorisées.
- Prévenir les destinataires. Message sur le site, sur les panneaux, sur les réseaux sociaux de la commune, avec une consigne simple : ne cliquez pas, ne payez pas, supprimez.
- Porter plainte et se faire aider. La plateforme cybermalveillance.gouv.fr oriente vers des prestataires et aide à qualifier l’attaque.
- Ouvrir un journal. Noter l’heure de chaque constat et de chaque décision. Il servira pour la plainte, pour l’assureur et pour la CNIL.
- Prévenir le DPO. Il qualifie l’incident au regard du RGPD et prépare avec vous la notification si elle est nécessaire.
Est-ce une violation de données à notifier ?
Un accès non autorisé à une messagerie qui contient des données d’habitants est une violation de données au sens du RGPD. Elle s’inscrit au registre des violations de la commune, dans tous les cas.
La notification à la CNIL, dans les 72 heures, dépend du risque pour les personnes. Des messages frauduleux envoyés aux habitants, avec une perte d’argent pour au moins l’un d’eux, et un historique de courriels potentiellement consulté : dans une situation comparable, la notification me paraîtrait nécessaire. Si le risque est élevé, il faut aussi informer les habitants dont les données ont pu être lues, au-delà de la simple alerte sur l’arnaque.
Ce qui aurait pu l’éviter
La commune n’a pas précisé comment sa messagerie a été compromise. Dans la grande majorité des cas que l’on voit en collectivité, l’entrée se fait par un mot de passe volé lors d’un hameçonnage ou réutilisé sur un autre site. La double authentification bloque l’essentiel de ces tentatives. Elle coûte quelques minutes de paramétrage et un téléphone.
Ajoutez une boîte par agent plutôt qu’une adresse partagée dont le mot de passe circule sur un post-it, un tri régulier des anciens courriels contenant des pièces d’identité, et un rappel annuel aux agents et aux élus sur les messages piégés.
Et si votre commune n’a pas de DPO ?
Toute commune doit désigner un délégué à la protection des données, quelle que soit sa taille. Beaucoup passent par un DPO mutualisé, au centre de gestion ou à l’intercommunalité. Si le vôtre est injoignable un mercredi après-midi, la question mérite d’être posée avant le prochain incident.
Nous accompagnons des collectivités comme DPO externe, avec une intervention de crise comprise dans la mission. Le formulaire ci-dessous vous permet d’être rappelé.
Sources : ICI Drôme Ardèche, 14 octobre 2026 ; cyberattaque.org, 15 octobre 2026.