Notes de veilleNote de veille
Rançongiciels et collectivités : pourquoi les petites structures sont visées
Les grandes métropoles font la une, mais les rançongiciels frappent d'abord les petites communes et intercommunalités. Ce que l'on sait des facteurs d'exposition, et ce qui change concrètement le risque.
Une mairie de 3 000 habitants, un CCAS, une petite intercommunalité : ces structures ne sont pas des cibles de choix par leur importance stratégique. Elles le sont par leur accessibilité. Les rançongiciels administrations ne discriminent pas par la taille — ils discriminent par la facilité. Et sur ce critère, les petites collectivités sont surexposées.
L’ANSSI publie régulièrement des bilans de la sinistralité cyber. Les rapports successifs (Panorama de la cybermenace 2024, bilan 2025) font ressortir une tendance stable : les collectivités territoriales, et en particulier les structures de moins de 50 agents, figurent parmi les catégories les plus représentées dans les incidents de rançongiciel traités ou signalés.
Quatre facteurs d’exposition cumulatifs
Des systèmes d’accès à distance non segmentés. Le recours au télétravail et à la télémaintenance a ouvert des accès à distance (RDP, VPN de fortune, solutions de bureautique distante) souvent mal configurés : mots de passe faibles, absence d’authentification à plusieurs facteurs, ports exposés directement sur Internet. C’est la porte d’entrée la plus fréquemment exploitée dans les incidents de collectivités.
Des sauvegardes absentes, non testées ou attachées au même réseau. Une sauvegarde accessible depuis le réseau infecté est chiffrée en même temps que les données de production. Une sauvegarde non testée peut s’avérer illisible au moment de la récupération. Dans les petites collectivités, la sauvegarde est souvent un disque externe branché en permanence ou un dossier synchronisé dans le cloud — deux configurations insuffisantes face à un rançongiciel moderne.
Des équipements et logiciels non maintenus. Les systèmes d’exploitation et logiciels non mis à jour présentent des vulnérabilités connues que les outils d’attaque automatisés exploitent sans effort. Un scanner de réseau peut identifier en quelques secondes les machines exposant des services vulnérables.
Une pression forte à payer la rançon. Une collectivité dont le système d’état civil ou de paye est hors service fait face à une pression immédiate : les administrés ne peuvent plus être servis, les agents ne peuvent plus être payés. Cette pression, combinée à l’absence de sauvegardes utilisables, crée la condition dans laquelle le paiement semble la seule issue. Les attaquants le savent.
Le paiement de la rançon n’assure pas le déchiffrement complet des données. Il finance les attaquants et peut conduire à une double extorsion (menace de publication des données volées). L’ANSSI et les autorités judiciaires recommandent de ne pas payer et de déposer plainte.
Ce qui change vraiment le risque
Trois mesures réduisent sensiblement l’exposition sans budget important :
L’authentification à plusieurs facteurs sur tous les accès distants (messagerie, VPN, bureau distant) est la mesure la plus efficace contre les accès non autorisés par credential stuffing ou phishing. Elle ne coûte presque rien à déployer sur les solutions modernes.
La sauvegarde hors ligne ou hors réseau (au moins une copie sur un support physique déconnecté ou un service cloud séparé du réseau principal) garantit qu’une infection ne détruit pas toutes les données. Tester la restauration au moins une fois par an transforme la sauvegarde d’un vœu en assurance réelle.
La segmentation minimale du réseau isole les systèmes critiques (paye, état civil, messagerie) des postes de travail généraux. Un ransomware qui touche un poste d’accueil ne doit pas pouvoir atteindre le serveur de paye.
Ce que NIS 2 change pour les collectivités
La directive NIS 2, dont la transposition en droit français était due avant le 17 octobre 2024 (les transpositions nationales ont pris du retard dans plusieurs États membres), étend significativement le périmètre des entités soumises à des exigences de sécurité renforcées. Les administrations publiques locales font partie des entités « importantes » visées. Les obligations comprennent la gestion des risques, la sécurité de la chaîne d’approvisionnement, la signalisation des incidents et des exigences minimales de sécurité des systèmes d’information.
Pour les collectivités qui n’ont pas encore engagé de démarche structurée, la transposition de NIS 2 est l’occasion de faire le point. Notre expertise en cybersécurité et conformité accompagne les organisations dans ce diagnostic initial.
Pour approfondir : Gouvernance & traçabilité