Fuite de données massive : Êtes-vous sur la liste des 1300 mairies touchées ?
Publié le
et mis à jour le
Rubrique Cyber-Sécurité
Une fuite de données d’une ampleur inédite vient de frapper de plein fouet les usagers de plus de 1300 mairies à travers la France. Les données de milliers de Français, qui avaient simplement pris rendez-vous pour leurs titres d’identité, voire des demandes de places en crèches, se retrouvent aujourd’hui dans la nature, mises en cause par un groupe de hackers. Noms, adresses, téléphones… des informations très sensibles qui promettent une vague d’arnaques d’ici les prochains mois. On fait le point sur ce qu’il s’est passé, les personnes concernées et surtout, comment se protéger de cette nouvelle menace.
La faille des plateformes de rendez-vous : comment le vol a eu lieu
Imaginez : vous faites une démarche basique, prendre un rendez-vous pour votre passeport, et hop ! Quelques semaines plus tard, vous apprenez que toutes vos coordonnées sont aspirées et circulent. C’est le scénario catastrophe que vivent actuellement les usagers d’environ 1300 communes. L’origine du problème, ce ne sont pas directement les systèmes informatiques des mairies, mais ceux de deux prestataires externes bien connus : RDV360 et Synbird. Ces plateformes de prise de rendez-vous en ligne, très utilisées pour les demandes de cartes nationales d’identité (CNI) et de passeports, ont été la cible d’une cyberattaque massive.
Un groupe de hackers, qui se fait appeler « dumpsec » (à l’origine de la fuite de données chez Itélis), a revendiqué l’opération. En clair, ils ont mis la main sur des bases de données qui contenaient des dizaines de milliers de fiches de citoyens. Ce n’est pas une petite affaire, on parle là d’une échelle colossale. L’attaque aurait en réalité commencé en septembre 2025 et se serait étendue sur un mois, visant des rendez-vous pris sur une très longue période, entre 2021 et novembre 2025. Un échantillon de 20 000 lignes a même été fourni par les malfrats pour prouver la véracité de leurs dires, de quoi confirmer la gravité de la situation.
RDV 360 précise qu’aucune donnée sensible, aucun document, aucune pièce d’identité, aucune information bancaire, ni aucun mot de passe n’ont été concernés. L’accès a été rapidement identifié et sécurisé. Notre prestataire a depuis renforcé ses mesures de protection afin de prévenir toute situation similaire. Il a porté plainte et travaille en lien direct avec l’ANSSI et l’OFAC du Parquet de Paris, en charge de l’enquête.
Ville-pace.bzh
Une véritable hémorragie de données personnelles
L’ampleur de cette fuite, c’est ce qui est le plus alarmant. Selon les premières estimations, ce sont plus de 14 millions de données personnelles qui auraient ainsi peut-être été compromises, dont pas moins de 7 millions rien que pour le prestataire RDV360 (selon SaXx sur X). Qu’est-ce que ces pirates ont exactement volé ? C’est malheureusement le jackpot pour eux : nom, prénom, adresse postale, code postal, date de naissance, numéro de téléphone et adresse e-mail. Vous voyez, ce sont toutes les informations qu’on vous demande habituellement quand vous fixez un rendez-vous en ligne.
Même si les données bancaires, bien sûr, n’étaient pas stockées sur ces plateformes, cette combinaison d’éléments est plus que suffisante pour monter des arnaques très crédibles, notamment des tentatives de phishing ultra-personnalisées. Géographiquement, si l’on voit beaucoup d’alertes en Bretagne, avec des villes comme Brest ou Quimper, d’autres régions comme l’Île-de-France (Alfortville, par exemple) sont aussi concernées, et la liste des communes impactées ne cesse de s’allonger selon Le Parisien. Il est crucial pour chaque Français qui a fait une démarche d’identité ces dernières années de vérifier s’il a utilisé l’une de ces deux plateformes.
Deux outils de RDV en ligne : Synbird (faille via un mot de passe réutilisé sur d’autres sites, exploité depuis un poste municipal) et RDV360 (surtout en Bretagne, avec une vulnérabilité similaire détectée début novembre via un e-mail suspect). L’attaque aurait duré un mois (septembre-octobre)
Le risque réel : une vague d’usurpation et d’arnaques imminente
La conséquence directe de ce genre de vol, on la connaît bien : c’est l’explosion du risque d’arnaques. Ce n’est pas parce que les hackers ont vos informations qu’ils vont s’en servir tout de suite pour usurper votre identité de A à Z, mais ils vont surtout les revendre ou les utiliser pour des escroqueries par e-mail ou par téléphone. Ces données brutes, qui circulent désormais, permettent de créer des tentatives d’hameçonnage (phishing) hyper sophistiquées. L’escroc, au lieu de vous envoyer un e-mail générique, pourra vous appeler en vous donnant votre nom, votre adresse et même la date de votre dernier rendez-vous en mairie ! Il gagnera ainsi votre confiance pour vous soutirer un mot de passe ou, pire, des coordonnées bancaires. C’est pour ça qu’il faut s’attendre à une vague de tentatives d’ici la fin d’année et le début 2026.
Les bons réflexes à adopter tout de suite
Si vous avez le moindre doute concernant une démarche récente, la prudence est de mise. La première chose à faire, c’est d’agir comme si vos données étaient effectivement compromises. Pourquoi ? Parce que le risque est trop grand. Changez vos mots de passe s’ils sont trop simples ! Et faites-le partout, surtout pour votre boîte mail, car elle est la clé de votre vie numérique, et avec votre adresse de messagerie dans la nature, il est plus simple de tester des milliers de combinaisons de mots de passe. Profitez-en pour activer l’authentification à deux facteurs (2FA) sur tous vos services sensibles, ça ajoute un vrai bouclier de sécurité.
Ensuite, il faut être deux fois plus vigilant que d’habitude. L’e-mail ou l’appel qui vous semble un peu trop crédible est justement le piège : vérifiez toujours l’adresse de l’expéditeur d’un e-mail, ne cliquez jamais sur un lien douteux, et surtout, ne donnez jamais, au grand jamais, d’information personnelle ou bancaire par téléphone, même si votre interlocuteur semble tout savoir de vous. Une administration ne vous demandera jamais un mot de passe ou un code de sécurité par e-mail ou par SMS, jamais. En cas de doute : on se rend directement sur le site concerné sans passer par un quelconque lien !
Publicité
Les recours pour les victimes et la responsabilité en question
Les mairies, de leur côté, sont désormais obligées d’alerter leurs habitants, et beaucoup ont commencé à le faire. L’incident a d’ailleurs été notifié à la CNIL (Commission Nationale de l’Informatique et des Libertés) et des plaintes sont en cours de dépôt par les communes concernées. Si vous vous trouvez face à une tentative d’arnaque ou à un préjudice réel (usurpation d’identité), il ne faut surtout pas rester seul. Vous avez deux portes d’entrée : premièrement, la CNIL, qui peut vous fournir des conseils précis sur la marche à suivre suite à une fuite de données et qui est le point de contact pour signaler ces incidents.
Deuxièmement, si vous êtes victime d’une escroquerie avérée, vous pouvez porter plainte en ligne sur le portail officiel cybermalveillance.gouv.fr. Cet organisme propose une assistance et vous guide dans les démarches. Concernant la responsabilité, si les mairies sont responsables des données de leurs administrés, c’est bien la sécurité des prestataires (RDV360 et Synbird) qui est pointée du doigt. Les enquêtes sont en cours, mais en attendant, c’est aux citoyens de se serrer les coudes et de rester hyper-vigilants face à cette menace qui s’installe durablement dans notre quotidien numérique.
Comme le résumait si bien SaXx hier à propos de la fuite de données chez Itélis : « Coupez internet, comme ça plus de fuite d’information... plus de piratage... en attendant que les entreprises prennent conscience de la gravité des choses et se réveillent, aidées peut-être par les autorités ».
