Cyberattaque AMF : 114 000 lignes de donnees d'elus en fuite — septembre 2026

Jeudi 4 septembre 2026, un individu operant sous le pseudonyme « Alduin » a revendique l'exfiltration de 114 000 lignes de donnees depuis le site de l'Association des Maires de France (amf.asso.fr). Le vecteur d'attaque : une injection SQL, probablement exploitee via un parametre non securise dans l'un des formulaires ou URL dynamiques du site. Les donnees publiees proviennent de plusieurs tables de la base de donnees et touchent un public tres specifique : les elus et les agents de la sphere publique territoriale francaise.

L'AMF est l'une des institutions les plus emblematiques de la vie publique locale. Elle federe les 34 945 communes de France, fournit un support juridique, technique et politique aux maires et presidents d'intercommunalites, et joue un role central dans le dialogue entre les collectivites et l'Etat. Sa base de donnees ne contient pas des clients : elle contient des responsables publics, des donnees de contact d'elus, des informations liees a l'exercice de mandats democratiques. La cible n'est pas commerciale — elle est politique.

Cet incident s'ajoute a une liste qui ne cesse de s'allonger. Depuis janvier 2026, la France a enregistre plus de 550 violations de donnees documentees. Les plus marquantes : la breach de l'ANTS (Agence Nationale des Titres Securises, 11,7 millions de comptes), celle d'EduConnect (3,5 millions de comptes d'eleves et de parents), et la compromission de Tchap, la messagerie chiffree de l'Etat, qui a seme le doute sur la confidentialite des communications interministerielles. La France est desormais classee deuxieme pays le plus touche par les cyberattaques en Europe, derriere le Royaume-Uni.

Anatomie de l'attaque : comment une injection SQL a suffi

L'injection SQL est la doyenne des vulnerabilites web. Elle figure dans le Top 10 OWASP depuis sa premiere edition en 2003 — et elle y figurait encore en 2026, reclassee sous la categorie « Injection » (A03:2021). Son principe est d'une simplicite desarmante : lorsqu'un site web concatene des entrees utilisateur directement dans une requete SQL sans les nettoyer ni les parametrer, un attaquant peut injecter ses propres instructions SQL et manipuler la base de donnees a sa guise.

Dans le cas de l'AMF, Alduin a probablement identifie un point d'entree vulnerable — un formulaire de recherche, un parametre d'URL servant a filtrer des resultats, ou un champ de connexion — et y a injecte des requetes SQL qui lui ont permis d'enumerer les tables de la base de donnees, puis d'en extraire le contenu ligne par ligne. La technique, dite « exfiltration par injection a l'aveugle » (blind SQL injection) ou par union-based injection, est documentee dans tous les manuels de securite offensive depuis plus de vingt ans.

Ce qui est remarquable, ce n'est pas la sophistication de l'attaque — c'est son archaisme. Une injection SQL reussie sur le site d'une institution de cette importance en 2026, c'est l'equivalent d'un cambriolage par la porte d'entree laissee grande ouverte. Cela revele l'absence probable de plusieurs couches de protection fondamentales : pas de requetes preparees (ou un code legacy qui les contourne), pas de WAF (pare-feu applicatif web) efficace en amont, et vraisemblablement pas d'audit de securite recent sur le perimetre web public.

114 000 lignes : que contiennent les donnees exfiltrees ?

Les 114 000 entrees publiees par Alduin proviennent de plusieurs tables de la base de donnees de l'AMF. Sans avoir acces a l'integralite du dump, les elements rendus publics permettent d'identifier les categories de donnees suivantes : noms et prenoms d'elus, fonctions exercees (maire, adjoint, conseiller municipal, president d'intercommunalite), coordonnees professionnelles (adresses email, numeros de telephone de mairie), communes de rattachement et, dans certains cas, des informations relatives aux mandats (dates, perimetre).

Ce qui rend ce fichier particulierement dangereux, c'est sa nature. Il ne s'agit pas de donnees de consommateurs anonymes : c'est un annuaire structure des decideurs publics locaux. Pour un attaquant qui prepare une campagne de phishing cible visant les collectivites territoriales, c'est une mine d'or. Chaque ligne du fichier permet de crafter un email personnalise : « Monsieur le Maire, suite a la reunion de l'AMF du... », « Madame l'Adjointe, concernant la subvention DETR... ». Le taux de reussite de ces emails est exponentiellement plus eleve que celui d'un spam generique.

De surcroit, les coordonnees de mairies et de collectivites sont les cles d'entree pour des attaques par fraude au president (arnaque au faux ordre de virement), un fleau qui touche les collectivites francaises avec une efficacite redoutable. En 2025, la Cour des comptes estimait le prejudice des fraudes au virement dans la sphere publique a plus de 120 millions d'euros par an. Le fichier de l'AMF donne aux fraudeurs exactement ce dont ils ont besoin : qui est le maire, qui est le directeur general des services, quelle est l'adresse email de la comptabilite publique.

2026 : l'annee ou la sphere publique francaise est devenue la cible n°1

La cyberattaque contre l'AMF ne survient pas dans un vide. Elle s'inscrit dans une tendance de fond qui a fait de 2026 l'annee la plus sombre de l'histoire de la cybersecurite publique francaise. Les chiffres parlent d'eux-memes : plus de 550 violations de donnees documentees depuis janvier, un rythme qui equivaut a plus de deux incidents par jour ouvre. Et ce comptage ne porte que sur les fuites rendues publiques — le chiffre reel est necessairement superieur.

Parmi les incidents les plus graves qui ont touche la sphere publique et parapublique en 2026 :

• •ANTS (Agence Nationale des Titres Securises) — 11,7 millions de comptes. L'agence qui gere les cartes d'identite, les passeports et les permis de conduire a vu sa base de comptes utilisateurs compromise. Les donnees incluent des identifiants de connexion et des informations liees aux demandes de titres. L'ampleur de la fuite est sans precedent pour une administration regalienne.
• •EduConnect — 3,5 millions de comptes eleves et parents. Le portail d'acces aux services numeriques de l'Education nationale a ete compromis, exposant les donnees de millions de mineurs. Noms, prenoms, classes, etablissements, identifiants parentaux : un fichier qui documente la vie scolaire de millions d'enfants francais.
• •Tchap — messagerie chiffree de l'Etat. La compromission de la messagerie utilisee par les agents de l'Etat pour leurs communications sensibles a provoque une onde de choc au sommet de l'appareil administratif. Meme si l'etendue de l'acces aux messages n'a pas ete pleinement rendue publique, le signal est devastateur : le canal cense etre le plus securise de l'administration francaise a ete perce.
• •320+ municipalites touchees par des cyberattaques significatives depuis janvier 2026. Ransomwares, deface de sites web, compromission de serveurs de messagerie, vol de donnees fiscales locales. Les collectivites territoriales sont devenues le maillon le plus attaque de la chaine publique, parce qu'elles sont aussi le moins protege.

A l'echelle nationale, les attaques par ransomware ont augmente de 74 % entre 2024 et 2025, et la tendance se maintient en 2026. La rancon moyenne exigee depasse desormais 250 000 euros, un montant qui a quasiment double en trois ans. Le phishing reste le vecteur d'entree numero un : 91 % des cyberattaques commencent par un email frauduleux. C'est exactement la raison pour laquelle un fichier d'elus avec noms, fonctions et emails est une arme si redoutable entre les mains d'un attaquant.

NIS2 et collectivites : des obligations reelles, une mise en oeuvre qui patine

La directive NIS2, transposee en droit francais et en vigueur depuis 2025, inclut explicitement les administrations publiques parmi les entites dites « essentielles ». Les collectivites territoriales de plus de 30 000 habitants, les regions, les departements et les intercommunalites entrent dans son perimetre d'application. Les obligations sont claires : notification d'incident sous 24 heures, mise en place de mesures de gestion des risques proportionnees, formation obligatoire de la direction aux enjeux cyber, et designation d'un responsable de la securite des systemes d'information (RSSI) ou d'un referent cyber.

Dans les faits, la mise en conformite des collectivites est lente. L'ANSSI a publie des guides, le programme France Relance a finance des parcours de cybersecurite pour plusieurs centaines de collectivites, et le dispositif Cybermalveillance.gouv.fr propose un accompagnement gratuit. Mais le passage de la sensibilisation a la mise en oeuvre operationnelle reste le maillon faible. Un guide telechargeable ne remplace pas un audit terrain. Une subvention ponctuelle ne finance pas un programme de securite pluriannuel.

L'AMF elle-meme, en tant qu'association, n'est pas directement soumise a NIS2. Mais elle est le pivot de l'ecosysteme territorial : si la federation des maires ne peut pas securiser sa propre base de donnees, quel signal cela envoie-t-il aux 35 000 communes qui comptent sur elle ? L'incident Alduin expose un paradoxe structurel : l'entite qui devrait porter la sensibilisation cyber des collectivites est elle-meme vulnerable a une attaque elementaire.

320 municipalites attaquees : la vague qui ne faiblit pas

L'attaque contre l'AMF est un cas emblematique, mais les collectivites sont frappees quotidiennement. Depuis le debut de l'annee 2026, plus de 320 municipalites francaises ont subi une cyberattaque significative — c'est-a-dire un incident ayant entraine une interruption de service, une compromission de donnees ou un paiement de rancon. Ce chiffre est en hausse de 40 % par rapport a la meme periode en 2025.

Les modes operatoires sont varies mais convergent vers un meme resultat : la paralysie des services publics. Les ransomwares representent environ 45 % des incidents, avec des demandes de rancon allant de 50 000 a plus de 500 000 euros. Les compromissions d'acces a distance (VPN, RDP) comptent pour 25 % des cas, exploitant des identifiants voles ou des configurations par defaut. Le phishing cible, enrichi par les nombreuses fuites de donnees de l'annee, represente 20 % des incidents. Les 10 % restants couvrent les defacements de sites web, les attaques DDoS et les compromissions de sous-traitants.

Les consequences pour les administres sont directes : impossibilite de renouveler un titre d'identite, fermeture temporaire des guichets d'etat civil, interruption des services sociaux, retard dans le traitement des autorisations d'urbanisme, et parfois meme impossibilite de payer les agents communaux pendant plusieurs semaines. A Chalon-sur-Saone, il avait fallu six mois pour retrouver un fonctionnement normal apres le ransomware de 2024. Les incidents de 2026 montrent que le delai de retour a la normale ne diminue pas — il augmente, parce que les systemes sont de plus en plus interconnectes et les sauvegardes pas toujours fonctionnelles.

Plan de protection : 5 mesures pour les collectivites et les organisations publiques

1. Auditez immediatement vos sites web publics. Un test d'intrusion sur vos applications web exposees est la premiere priorite. L'injection SQL qui a touche l'AMF est detectable en quelques heures par un scanner automatise ou un pentester qualifie. Si votre site tourne sur un CMS (WordPress, Drupal, SPIP), verifiez les mises a jour, les extensions, et les configurations de la base de donnees. Si c'est un developpement sur mesure, exigez un audit de code source.

2. Deployez un WAF devant toutes vos applications web. Un pare-feu applicatif web (WAF) filtre le trafic entrant et bloque les tentatives d'injection SQL, de XSS et d'autres attaques applicatives avant qu'elles n'atteignent votre serveur. C'est une couche de defense qui coute quelques centaines d'euros par mois et qui aurait vraisemblablement stoppe l'attaque d'Alduin sur amf.asso.fr.

3. Verifiez et renforcez l'authentification multifacteur (MFA). Tous les acces d'administration — serveurs, CMS, messagerie, comptes cloud, VPN — doivent etre proteges par une authentification a deux facteurs. Pas par SMS (vulnerable au SIM swapping), mais par application TOTP ou cle physique FIDO2. C'est la mesure qui a le meilleur ratio cout/protection.

4. Lancez une campagne de sensibilisation anti-phishing immediate. Les donnees AMF vont etre exploitees dans les semaines qui viennent. Prevenez vos elus et vos agents : tout email faisant reference a l'AMF, a une reunion, a une subvention ou a un virement doit etre verifie par un appel telephonique au numero habituel — pas au numero indique dans l'email. Mettez en place une adresse de signalement interne pour les emails suspects.

5. Elaborez ou testez votre plan de reponse a incident. Si votre collectivite etait touchee demain, sauriez-vous qui appeler, quoi communiquer, comment notifier la CNIL sous 72 heures et l'ANSSI sous 24 heures au titre de NIS2 ? Si la reponse est non, c'est la priorite absolue. Un exercice de simulation d'incident — un « tabletop exercise » — se conduit en une demi-journee et revele toutes les lacunes du dispositif.

Ce que cet incident enseigne a toutes les organisations

L'attaque contre l'AMF n'est pas un cas isole visant une institution particuliere. C'est un symptome d'un probleme systemique qui touche toute organisation operant un site web en France : le decalage entre la criticite des donnees traitees et l'investissement dans la securite applicative. L'AMF federe les communes de France. Mais combien d'associations professionnelles, de federations patronales, d'ordres professionnels, de syndicats, de chambres de commerce operent des sites web developpes il y a dix ans, jamais audites, heberges sur des infrastructures vieillissantes ?

La lecon numero un est technique : l'injection SQL est evitable a 100 %. Chaque langage de programmation moderne fournit des requetes preparees (parameterized queries) qui rendent l'injection SQL physiquement impossible. L'utilisation d'un ORM (Object-Relational Mapping) comme Doctrine (PHP), SQLAlchemy (Python) ou Entity Framework (.NET) protege egalement contre cette classe de vulnerabilites. Le fait qu'un site d'une institution majeure soit encore vulnerable en 2026 indique un code applicatif qui n'a pas ete modernise, pas audite, pas teste.

La lecon numero deux est organisationnelle : la cybersecurite n'est pas un sujet informatique, c'est un sujet de gouvernance. Les decisions qui auraient empeche cet incident — commander un audit, budgeter un WAF, faire former les developpeurs — ne sont pas des decisions techniques. Ce sont des decisions de direction. La directive NIS2 l'a compris en introduisant la responsabilite personnelle des dirigeants. Mais NIS2 ne s'applique pas aux associations : c'est donc a la gouvernance de l'AMF elle-meme de prendre la mesure de ses obligations en matiere de protection des donnees.

La lecon numero trois est strategique : les donnees de la sphere publique sont les plus convoitees. Les donnees commerciales permettent la fraude financiere. Les donnees publiques permettent la fraude institutionnelle, la manipulation politique, la destabilisation des services publics. Le fichier de l'AMF n'a pas la meme valeur marchande qu'un fichier de clients e-commerce — il a une valeur strategique superieure. Les Etats hostiles, les groupes de ransomware et les reseaux de fraude organisee le savent. C'est la raison pour laquelle le secteur public est devenu la cible prioritaire en 2026.

Pour approfondir le sujet des obligations reglementaires, consultez notre analyse detaillee de la directive NIS2 et ses implications pour les organisations francaises, ainsi que nos solutions de cybersecurite adaptees aux collectivites et aux associations. Le site cyberattaque.org tient egalement un suivi en temps reel des incidents de cybersecurite en France.