L'AMF confirme une fuite de données sur des élus locaux

Une fuite confirmée, une portée encore en cours d'évaluation

L'Association des maires de France et des présidents d'intercommunalité, souvent désignée par le sigle AMF, a confirmé à BFM Tech avoir été victime d'une fuite de données. L'organisme a indiqué être en train de « délimiter la portée de cette fuite » et avoir saisi la CNIL. Les personnes potentiellement concernées doivent être contactées après la réalisation de l'audit, selon BFM Tech.

Cette confirmation est essentielle. Elle établit qu'il ne s'agit pas seulement d'une revendication publiée sur un forum clandestin. En revanche, elle ne valide pas encore, point par point, tous les éléments attribués au pirate. L'incident est confirmé, mais son périmètre exact, le nombre de personnes distinctes touchées et la liste finale des données doivent encore être établis par l'AMF.

Près de 114 000 entrées, pas nécessairement 114 000 victimes

Les deux articles consultés rapportent l'existence d'environ 114 000 entrées dans les données dérobées. Il faut éviter de transformer ce chiffre en nombre de victimes : BFM Tech précise que ces entrées ne correspondent pas forcément à autant d'utilisateurs différents. Une même personne peut apparaître plusieurs fois, par exemple selon son abonnement, sa fonction ou plusieurs enregistrements administratifs.

D'après BFM Tech et Clubic, les données évoquées incluent des noms, prénoms, adresses électroniques, fonctions, identifiants internes, communes ou intercommunalités, ainsi que des informations liées aux abonnements. Les médias signalent aussi que des mots de passe en clair figureraient dans la base. Ce dernier point est rapporté à partir des éléments attribués à l'auteur de l'intrusion : l'AMF n'a pas publié de liste indépendante et exhaustive des champs concernés.

L'injection SQL évoquée par le pirate n'est pas encore détaillée par l'AMF

Selon les informations relayées par BFM Tech et Clubic, un individu utilisant le pseudonyme « Alduin » a revendiqué l'attaque sur un forum spécialisé. Il affirme avoir exploité une injection SQL de type UNION. Cette technique consiste à détourner une requête envoyée à une base de données afin d'obtenir des résultats qui n'auraient pas dû être accessibles. Elle peut devenir possible lorsqu'une application traite des données saisies sans les contrôler correctement.

Nous ne pouvons toutefois pas présenter ce scénario technique comme définitivement établi. L'AMF a confirmé la fuite, mais les articles lus ne rapportent pas de communiqué détaillant le vecteur d'accès, la faille concernée, la date de l'intrusion ou les correctifs appliqués. L'audit annoncé devra notamment permettre de confirmer ou d'infirmer cette explication.

Pourquoi les fonctions et coordonnées d'élus sont sensibles

Une liste ne contenant pas de données bancaires peut déjà servir à préparer des attaques crédibles. Lorsque le nom, l'adresse électronique, la fonction et la collectivité d'une personne sont réunis, un escroc peut se faire passer plus facilement pour un collègue, un service administratif, un prestataire ou un organisme public. Il peut adapter son message au rôle réel de sa cible au lieu d'envoyer un courriel générique.

BFM Tech souligne aussi le risque de reconstituer des organigrammes pour exercer une pression ciblée. Pour les élus et agents territoriaux, ce contexte peut faciliter le hameçonnage, les faux ordres de virement ou les demandes urgentes d'accès à un compte. Ce risque existe même sans savoir à ce stade quelles personnes ont été individuellement touchées.

Le réflexe : vérifier toute demande par un canal déjà connu

Si vous travaillez pour une commune, une intercommunalité ou une organisation liée à l'AMF, ne vous fiez pas à un message uniquement parce qu'il cite correctement votre fonction ou votre collectivité. Un courriel, un appel ou un SMS bien renseigné peut précisément exploiter les données de cette fuite. Ne cliquez pas sur le lien reçu et ne communiquez pas de code de connexion, même à un interlocuteur qui paraît connaître votre dossier.

Pour vérifier une demande urgente, utilisez un moyen de contact que vous connaissiez avant le message : numéro figurant dans un annuaire interne, portail habituel ou adresse saisie vous-même. Les personnes informées par l'AMF devront également lire avec attention la nature précise des données qui les concernent. Si des mots de passe ont effectivement été exposés, il faudra les remplacer sur les services où ils étaient utilisés.

Ce que nous ne pouvons pas vérifier

Les sources ouvertes confirment que l'AMF reconnaît la fuite, mais elles ne permettent pas de compter les personnes distinctes concernées. Le chiffre d'environ 114 000 désigne des entrées de base de données, pas un décompte vérifié d'individus. Elles ne donnent pas non plus la date de l'intrusion, celle de sa découverte, ni celle à laquelle les personnes concernées seront prévenues.

L'injection SQL de type UNION et la présence de mots de passe en clair sont rapportées à partir de la revendication attribuée au pirate et relayée par les médias. L'AMF n'a pas, dans les sources consultées, confirmé publiquement ces détails techniques ni la liste exhaustive des données volées. Nous ne pouvons donc pas déterminer quels comptes précis doivent être modifiés avant les notifications individuelles annoncées.

Sources : BFM Tech ↗ · Clubic ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.