La mairie d'Aulnoye-Aymeries paralysée par une « cyberattaque violente »

Le 18 novembre 2020, une cyberattaque par « rançongiciel » détruit une partie de la mémoire de cette commune industrielle de la Sambre (Nord, 9 300 habitants). Par Ludovic Galtier

Ludovic Galtier

Mercredi 18 novembre 2020, le maire d'Aulnoye-Aymeries, Bernard Baudoux, découvre, sidéré, que les données de sa commune ont fait l'objet d'une cyberattaque par « rançongiciel », dont celles du centre administratif. La vie de ses agents municipaux et de ses habitants va en être bouleversée longtemps.

« C’est le blackout total ! » Dans l’incapacité de se connecter à internet depuis leur ordinateur, les 140 agents municipaux, tous services confondus, n’ont plus accès à leurs fichiers. Au matin du mercredi 18 novembre 2020, à la mairie d’Aulnoye-Aymeries (Nord), le maire, Bernard Baudoux, et ses équipes vivent « dans un état de sidération » les premières minutes « d’une véritable catastrophe ». « On croit d’abord à un bug informatique comme il en arrive parfois », se souvient Jean-Luc Bonnechère, directeur général des services. Les heures passent, le problème semble inextricable. «Inimaginable », diront, avec le recul, le maire et son directeur général des services (DGS).
La mairie vient d’être frappée par « une violente cyberattaque » sous la forme d’un rançongiciel. « Par le biais de notre système informatique, nous avons reçu un message avec une demande de rançon de 150 000 euros. Nous refusons immédiatement de céder à ce chantage. » Mais Bernard Baudoux et Jean-Luc Bonnechère ne réalisent pas ce qui vient de leur tomber sur la tête. « Nous sommes d’abord dans le déni », relève le DGS. « Qui pourrait vouloir s’en prendre à une commune de 9 300 habitants ? », s’interroge le maire. Toutes les données de la commune sont cryptées et donc inaccessibles. « On n’a même plus de téléphone », grince le maire. C’est, à cet instant, pour Bernard Baudoux et ses agents, le début de « trois mois de galère ». Et ce, en plein confinement. Dans les services, la comptabilité, l’EHPAD, les ressources humaines, « des fichiers sont perdus ». « Il nous est impossible de retrouver la moindre trace d’un échange de mail, c’est comme si on vous effaçait une partie de votre mémoire. Et on ne la retrouvera pas », relate le DGS. Le maire rebondit : « On vit cela un peu comme un viol de notre vie commune à la mairie. Le personnel est désemparé, c’est difficile psychologiquement. » Immédiatement, une société spécialisée est chargée par la mairie de rétablir le système informatique et de nettoyer les serveurs et les ordinateurs. « La sortie de crise, le retour d’internet et de la messagerie, ce fut fin janvier 2021, pas avant. »

« On est retombé 30 à 40 ans en arrière »

Heureusement, le serveur n’avait été changé qu’en septembre 2020. Les données avant cette date, conservées dans de vieux programmes, ont donc pu être récupérées. Celles de la période septembre-novembre 2020, elles, sont définitivement perdues. « Pour payer nos agents, par exemple, nous avons demandé au Trésor public l’autorisation d’éditer exceptionnellement une paye de novembre et de décembre 2020 identiques à celles de septembre et octobre 2020 et de procéder aux régularisations éventuelles début 2021 », raconte Jean-Luc Bonnechère. Au-delà des problématiques de fonctionnement interne, c’est l’ensemble des services aux usagers qui est perturbé. « Nous avons, par exemple, perdu le fonds de livres numérisé de la médiathèque. On ne peut donc plus répondre à un usager qui demanderait si tel ou tel livre est disponible, il faut tout reprendre à la main, livre par livre, les enregistrer, c’est titanesque. Même chose à l’état civil où l’on notait les naissances et des décès sur un cahier en attendant un réseau sécurisé. On est retombé 30 à 40 ans en arrière », soupire le maire. « Nous n’avions plus trace non plus de ce que nos 700 familles avaient effectivement payé ou non en termes de services publics entre septembre et novembre 2020, que ce soit la restauration, la crèche, les centres de loisirs, ajoute Jean-Luc Bonnechère. On commence seulement le recollement. » Six mois après, « le plus dur est derrière nous » mais la cyberattaque n’est pas encore complètement de l’histoire ancienne pour le maire et ses habitants. Cette gestion de crise a coûté 250 000 euros à la commune (achat de matériel, appui technique), qui consacre chaque année dans son budget de fonctionnement 110 000 euros à la maintenance informatique.

INTERVIEW
Bernard Baudoux, maire d’Aulnoye-Aymeries (59)
« Un aveu d’impuissance face aux cybercriminels »

• Quelle est la principale leçon que vous tirez de cette cyberattaque ?
Cet événement nous a permis de résorber nos carences. L’architecture de notre système d’information était trop centralisée. Nous avons convenu d’un certain nombre de règles (charte informatique) avec le personnel et les élus qui utilisent un ordinateur relié aux données de la mairie, notamment en ces périodes de télétravail. Nous demandons, par exemple, au personnel d’être plus attentif aux noms de domaine des adresses mail. On a fermé aussi certains accès, mis en place des pare-feux pour bloquer des programmes et interdit un certain nombre de pratiques, comme l’insertion de clés USB qui peut être à l’origine de la diffusion d’un virus.

• Comment avez-vous communiqué pour rassurer la population ?
On a retrouvé notre capacité à dialoguer avec l’extérieur via notre messagerie (boîte mail) et le site internet de la commune seulement à la fin de janvier 2021. Nous avons donc surtout communiqué par voie de presse (journaux, radio, web) et sur les réseaux sociaux pour prévenir les habitants que les mails envoyés avant le 18 novembre n’obtiendraient jamais de réponse et les rassurer en leur précisant qu’il s’agissait d’un cryptage de nos données – nous n’y avions plus accès –, et non d’un vol. Sur mon compte Facebook personnel, qui est heureusement très utilisé, les habitants étaient scandalisés.

• Vous préparez-vous à une nouvelle cyberattaque ?
Oui, bien sûr, je suis incapable d’affirmer aujourd’hui que cette cyberattaque ne se reproduira pas. Nous sommes contraints de reconnaître notre impuissance face aux cybercriminels, c’est angoissant. La lutte contre ces «voyous » ne peut se mener qu’au niveau international, avec la collaboration de tous les pays et, pourquoi pas, avec la mise en place d’une charte.

Les acteurs clés

Cybermalveillance.gouv.fr
Le groupement d’intérêt public a été d’un précieux secours. Cybermalveillance.gouv.fr propose à chaque victime de cyberattaque un diagnostic en ligne personnalisé. Pour ce faire, il faut d’abord décrire le problème rencontré (hameçonnage, rançongiciel, etc.), agir en vérifiant le diagnostic proposé et, enfin, demander à être mis en relation avec un professionnel référencé. Le maire d’Aulnoye-Aymeries a déposé plainte. L’enquête est toujours en cours.
Les collectivités, EPCI et syndicats à proximité, parmi lesquels l’agglomération Maubeuge Val-de-Sambre et le Syndicat mixte des transports urbains de la Sambre, ont mis à la disposition de la commune des renforts humains. Le département du Nord et la région des Hauts-de-France ont, elles, contribué à financer en partie le coût de cette crise. Plus largement, les collectivités commencent à travailler main dans la main sur les questions de cybersécurité. Preuve en est avec un réseau, piloté par Cyril Bras, responsable de la sécurité des systèmes d’information (RSSI) de la métropole de Grenoble (38), qui regroupe, depuis 2020, une centaine de RSSI de collectivités territoriales.

Les collectivités, « des cibles faciles »

Les cyberattaques contre les collectivités sont en expansion. En 2019, 1 200 collectivités étaient venues chercher de l’assistance sur la plateforme Cybermalveillance.gouv.fr. « Ce chiffre a augmenté de 72 % en 2020 », observe le groupement d’intérêt public dans son rapport de 2020, présenté le 15 avril. « Le passif et la dette technique des collectivités, qui voyaient jusque-là la cybersécurité comme un poste de coûts », font d’elles « des cibles faciles », explique Jérôme Notin, directeur général de Cybermalveillance.gouv.fr. La plateforme, avec le concours de la fédération Déclic, Coter Numérique, l’Anssi et le ministère de l’Intérieur, a lancé, en 2020, un programme de sensibilisation aux risques numériques destiné aux élus. Un appel à manifestation d’intérêt court, par ailleurs, jusqu’au 16 juin 2021 pour « identifier et sélectionner les acteurs du territoire qui souhaitent expérimenter des démonstrateurs de cybersécurité qui répondent à leurs besoins » (lire aussi Maires de France n° 389 d'avril 2021, pp. 60-61).