Fumel est une petite ville de 5000 habitants en bordure du Lot. Ce territoire est totalement fibré et couvert en 5G (par Orange) depuis début 2025. Elle propose des démarches en lignes via son site web ou depuis une application mobile citoyenne. Une commune qui vit donc avec son temps, mais que rien ne prédisposait à être une cible de choix pour des cyberattaquants.

Elle est simplement tombée dans les mailles du filet du cartel malaisien " Dragon Force Ransomware ", bien connu des experts en cybersécurité. Ce groupe de cybercriminels a manifestement lancé une campagne de sourcing de victimes potentielles, sans ciblage particulier, et Fumel est apparu sur la liste.

Les cyberattaquants ont trouvé une faille dans un pare-feu fourni par un prestataire, qui n’avait pas été mis à jour en 2024 ni en 2025. « Nous avons subi une attaque massive sur notre pare-feu : plus de 1 200 tentatives jusqu’à ce qu’une faille soit exploitée », précise Jean-Louis Costes, maire de Fumel. Cela a permis au cartel de lancer une attaque par ransomware, perpétrée juste avant un week-end, comme cela est courant. Le vendredi 3 octobre 2025, le virus a donc chiffré les données du système d’information de Fumel, le rendant rapidement inutilisable.

« Lorsque notre agent d’accueil a allumé son poste le vendredi, l’écran affichait un message d’erreur. Très rapidement, nous avons compris que l’ensemble du système d’information était crypté : serveurs, postes de travail, photocopieurs. Tout était bloqué ! »

L’attaque est bien entendu associée à une demande de rançon. Mais elle est d’une nature peu courante. « Il ne s’agissait pas d’un montant fixe, mais d’une proposition de "discussion" pour définir une contribution annuelle en échange de la restitution des données. Nous n’avons pas engagé cette discussion. Nous n’avons pas payé. »

Le choix immédiat de la transparence

Dès les premières heures de l’incident, Jean-Louis Costes décide de communiquer auprès des habitants, notamment via un message sur Facebook. « Certains conseillent de garder le silence, par crainte d’inquiéter les administrés ou de donner l’image d’une collectivité défaillante. Nous avons fait l’inverse. Résultat : les habitants ont été compréhensifs. Ils savaient pourquoi certains services étaient ralentis ou indisponibles. S’ils étaient venus en mairie sans information préalable, l’incompréhension aurait été bien plus forte. »

Fumel contacte alors son assurance, car elle a eu la bonne idée de souscrire à une option cyber l’année précédente. « Cette décision s’est révélée déterminante. L’assurance nous a immédiatement mis en relation avec une société spécialisée en cybersécurité. »

Une analyse de la situation est alors lancée et la cellule de crise est constituée pour gérer l’incident et informer l’ensemble des agents. Fumel déconnecte alors complètement son SI, puis engage les démarches administratives : informer la gendarmerie, l’ANSSI, les finances publiques et le Centre de gestion départemental (CDG).

Heureusement, les données de la commune étaient sauvegardées au niveau du CDG. « Toutes nos données sensibles étaient externalisées auprès du centre de gestion départemental : nos données comptables, financières, RH et administratives sont ainsi hébergées hors de la mairie. Ce modèle est commun à la grande majorité des communes françaises de taille moyenne. »

Concrètement, Fumel n’a pas perdu de données critiques. Ce qui a été perdu, ce sont des documents de travail enregistrés localement sur certains postes. « C’est un point fondamental : la sauvegarde externalisée est la meilleure défense face à un ransomware. »

Un retour à la normale en « seulement » un mois

Il a fallu nettoyer environ 35 postes informatiques, ce qui représente deux à trois heures par poste. Le serveur principal, totalement infecté, a dû être remplacé physiquement. Un autre pare-feu a été acheté et déployé.

Pendant quinze jours, le fonctionnement a été très perturbé. « Nous avons frôlé l’impossibilité de payer les agents à temps. Au bout d’un mois, le fonctionnement était redevenu normal. »

Autre élément important : la DGFIP isole automatiquement une collectivité attaquée afin d’éviter toute propagation. « Tant que le nettoyage n’est pas certifié, il est impossible d’émettre des mandats ou de régler des factures. Cela ajoute une contrainte supplémentaire qu’il faut anticiper. »

La remédiation a pris environ un mois. Finalement, la commune estime s’en être sorti sans trop de dégâts. Aucune donnée importante n’a été perdue, le retour à la normale est arrivé « seulement » au bout d’un mois et l’assurance a payé environ la moitié du coût de l’incident, estimé à plusieurs dizaines de milliers d’euros.

« Nous nous en sommes sortis sans catastrophe majeure (…) Une cyberattaque n’est pas une honte. C’est un risque contemporain. Et comme tout risque, il doit être anticipé, assumé et intégré dans la gestion quotidienne d’une collectivité. De la même manière que nous intégrons le risque d’inondation ou de tempête dans nos politiques publiques, nous devons intégrer le risque cyber », conclut Jean-Louis Costes.

Les conseils de Fumel

« Si nous devions formuler des recommandations aux maires et présidents d’exécutifs locaux, elles seraient les suivantes » :

Ne pas penser que « cela n’arrive qu’aux autres »
Toutes les collectivités sont ciblées, quelle que soit leur taille. Une commune de 5 000 habitants n’est pas trop petite pour intéresser des cybercriminels.

Communiquer immédiatement
La transparence crée la confiance. Le silence crée la défiance. Informer les habitants réduit la tension et favorise la compréhension.

Souscrire une assurance cyber
Le coût annuel est faible au regard des conséquences potentielles. L’assurance apporte non seulement un soutien financier, mais aussi un accès immédiat à des experts spécialisés.

Vérifier l’externalisation des données sensibles
Les sauvegardes externalisées sont vitales. Sans elles, la situation aurait été dramatique. Chaque collectivité doit s’assurer que ses données critiques sont protégées hors site.

Constituer une cellule de crise claire

Savoir qui appeler : assurance, gendarmerie, ANSSI, centre de gestion. La rapidité des premiers contacts est essentielle.

Intégrer le risque cyber dans la culture administrative
Ce risque doit être abordé en conseil municipal, intégré dans la stratégie globale de gestion des risques et régulièrement rappelé aux agents.

Cet article est extrait du dossier « Comment se préparer à une cyberattaque et se reconstruire après l'incident ? » à paraitre dans SCM N°73.