Espelette : la messagerie de la mairie utilisée pour piéger

Un faux document ouvert depuis la messagerie municipale

L’incident concerne la mairie d’Espelette, dans les Pyrénées-Atlantiques. D’après actu.fr, la compromission s’est produite le vendredi 11 septembre 2026 après l’ouverture d’un courriel frauduleux. La pièce jointe portait le nom « FACTURE FC_PDF » et se présentait comme un document à ouvrir. Ce type de nom vise à donner au destinataire une raison banale de cliquer : une facture paraît d’autant plus crédible lorsqu’elle ressemble aux échanges habituels d’une organisation.

Le point confirmé n’est donc pas une fuite de données annoncée par la commune, mais le piratage d’une boîte mail municipale à la suite de l’ouverture de ce message. La méthode relève de l’hameçonnage : l’attaquant utilise un message conçu pour provoquer une action humaine, ici l’ouverture d’une pièce jointe. Les éléments accessibles ne permettent pas d’identifier le programme utilisé ni de dire si le fichier était un PDF réel ou un fichier malveillant déguisé.

Des messages frauduleux envoyés depuis une adresse connue

Après la compromission, le même courriel a été envoyé automatiquement à plusieurs destinataires depuis la messagerie de la mairie. C’est ce qui rend ce type d’incident particulièrement trompeur. Un message qui vient d’une adresse municipale connue peut sembler légitime à un habitant, un prestataire, une association ou un partenaire administratif. Pourtant, l’adresse de l’expéditeur ne suffit plus à garantir que le message a été rédigé par la personne ou le service attendu.

Actu.fr indique que certains destinataires ont eux aussi ouvert le piège. En revanche, aucune information publique consultée ne précise leur nombre, les appareils concernés, ni les conséquences techniques de ces ouvertures. Il ne faut donc pas transformer cette diffusion en bilan d’infection : nous savons qu’un envoi frauduleux est parti de la boîte municipale, pas combien de personnes ni de systèmes ont été effectivement compromis.

Le risque principal : exploiter la confiance dans la mairie

Lorsqu’une messagerie professionnelle est compromise, elle peut servir à atteindre les contacts déjà présents dans les échanges. Un faux message envoyé depuis une adresse familière contourne une partie de la méfiance habituelle. Son contenu peut ensuite chercher à faire ouvrir une pièce jointe, à récupérer un mot de passe sur un faux site ou à engager une conversation sous l’identité de la victime. Dans le cas d’Espelette, seule la diffusion du fichier frauduleux est documentée par la source consultée.

L’objectif de collecte de données est évoqué par actu.fr, mais les informations publiques ne permettent pas d’établir quelles données auraient été recherchées, vues ou récupérées. Aucune liste de données personnelles, aucun volume, aucune revendication d’auteur et aucune demande de rançon ne sont confirmés pour Espelette dans les sources que nous avons pu lire. Cette distinction est essentielle : une messagerie piratée n’est pas, à elle seule, la preuve d’une exfiltration.

Si vous recevez ce message, ne testez pas le fichier

Le réflexe utile est simple : n’ouvrez pas la pièce jointe « FACTURE FC_PDF » et ne répondez pas au courriel pour demander si elle est authentique. Une réponse peut arriver dans une boîte encore contrôlée par l’attaquant. Fermez le message, puis vérifiez par un canal distinct : le numéro de téléphone connu de la mairie, son site officiel ou une adresse déjà enregistrée dans vos contacts. N’utilisez pas un lien ou un numéro fourni dans le message suspect.

Si vous avez ouvert le fichier, prévenez sans attendre votre service informatique ou, à défaut, la mairie par un canal habituel. Ne transférez pas le courriel à vos contacts : vous augmenteriez sa diffusion. Si le fichier vous a demandé de saisir un identifiant ou un mot de passe et que vous l’avez fait, modifiez ce mot de passe sur le vrai site concerné, depuis une adresse saisie manuellement dans le navigateur.

Ce que nous ne pouvons pas vérifier

Nous ne pouvons pas vérifier le point d’entrée technique exact après l’ouverture du fichier, le logiciel éventuellement utilisé, le nombre de messages envoyés, le nombre de destinataires ayant ouvert la pièce jointe, ni la durée pendant laquelle la messagerie est restée contrôlée. La publication de la mairie signalée par la presse n’est plus accessible publiquement au moment de notre vérification, et le site officiel de la commune ne publie pas de détail technique sur cette alerte.

Nous ne pouvons pas non plus confirmer l’accès à des données personnelles, une copie de fichiers, un volume de données, une demande de rançon, l’identité des auteurs ou une revendication. Les conseils ci-dessus portent donc sur le risque confirmé : un message malveillant envoyé depuis une adresse municipale compromise. Ils ne signifient pas qu’une fuite de données est établie.

Sources : actu.fr ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.