Dans une administration ou une collectivité, le push bombing exploite une particularité d'organisation plus qu'une faiblesse technique : la concentration des habilitations sur quelques personnes. Dans une commune ou un établissement de taille moyenne, un secrétaire de mairie ou un directeur général des services cumule des accès qui, dans une entreprise, seraient répartis entre cinq directions. Un seul « oui » arraché suffit.
Ce que l'attaquant obtient avec un compte agent
Le patrimoine informationnel d'une collectivité est à la fois large et directement monétisable.
- Les données d'usagers : état civil, aide sociale, scolarité, inscriptions. Elles alimentent des fraudes à l'identité durables, car ces informations ne se révoquent pas.
- La chaîne comptable et les marchés publics : validation de mandats, coordonnées bancaires de titulaires de marché. La fraude au changement de RIB fournisseur y trouve un terrain favorable, car les circuits de validation sont formels mais l'urgence budgétaire est réelle.
- La messagerie des élus et de la direction générale, dont l'usurpation produit une autorité immédiate sur les services.
- Les téléservices exposés aux usagers, dont l'indisponibilité ou la compromission met en cause la continuité du service public et la confiance des administrés.
À la différence d'une entreprise, l'organisation ne peut pas simplement suspendre son activité le temps de traiter l'incident : l'état civil, les paies et les prestations sociales continuent.
Les contraintes qui rendent la parade difficile
Trois réalités du secteur méritent d'être posées avant de recommander quoi que ce soit.
D'abord, l'accueil du public. Une partie des agents travaille sur des postes de guichet, partagés, en présence d'usagers, avec des interruptions permanentes. Le geste d'authentification y est répété et donc automatisé. Ensuite, la mutualisation : services communs entre communes et intercommunalité, syndicats mixtes, groupements. Un même agent intervient pour plusieurs entités, ce qui multiplie les comptes et brouille la notion de sollicitation normale. Enfin, le cycle de la commande publique : changer de méthode d'authentification suppose souvent un marché, donc des délais qui se comptent en mois, quand l'attaque, elle, se prépare en quelques jours.
| Contexte public | Effet observé | Ce qu'exploite l'attaquant | Orientation de parade |
|---|---|---|---|
| Poste de guichet partagé | Validations répétées, session maintenue | Approbation réflexe | Authentification individuelle rapide |
| Cumul d'habilitations | Une compromission, tout le périmètre | Cible unique très rentable | Traitement prioritaire des comptes cumulards |
| Mutualisation intercommunale | Comptes multiples, périmètres flous | Sollicitation difficile à qualifier | Revue des habilitations par entité |
| Petite commune sans DSI | Aucun point de signalement | Faux support crédible | Règle écrite, référent identifié |
| Marchés publics | Circuits longs, urgence budgétaire | Fraude au changement de RIB | Validation dédiée à l'opération |
NIS2, RGPD et identité européenne
La directive NIS2 (directive (UE) 2022/2555) intègre l'administration publique dans son champ et demande des mesures de gestion des risques citant l'authentification multifacteur ou continue. Pour une collectivité, l'exigence se traduit très concrètement : être en mesure d'expliquer quelle méthode protège quels accès, et pourquoi cette méthode résiste aux scénarios connus. Le push bombing en fait partie depuis la compromission publique d'Uber en 2022.
Le RGPD impose parallèlement une sécurité proportionnée au risque et la capacité à notifier une violation. Une consultation illégitime de fichiers sociaux ou d'état civil relève de cette obligation, même sans exfiltration massive.
Enfin, le règlement eIDAS 2 (règlement (UE) 2024/1183) introduit le portefeuille d'identité européen, qui concerne les téléservices destinés aux usagers. Il ne règle pas la question de l'authentification des agents, qui reste entière : ce sont deux chantiers distincts, à ne pas confondre dans une feuille de route.
Pour l'hébergement des services et des données, la qualification SecNumCloud de l'ANSSI constitue un repère fréquemment cité dans les consultations publiques.
Parades réalistes pour une collectivité
- Commencer par les comptes cumulards. Direction générale, secrétariat de mairie, finances, administration du système d'information : quelques dizaines de comptes concentrent l'essentiel du risque, et leur traitement ne demande pas un projet pluriannuel.
- Retirer l'approbation par simple bouton sur ces comptes, au profit d'un facteur qui exige un acte de résolution volontaire plutôt qu'un réflexe.
- Isoler la validation des opérations financières. Un mandat, un virement ou un changement de coordonnées bancaires de titulaire de marché doit être confirmé par une action distincte de l'ouverture de session, portant sur le montant et le bénéficiaire.
- Publier une règle unique : aucun service informatique, interne ou mutualisé, ne demandera jamais d'approuver une authentification par téléphone. Cette règle est plus efficace qu'une campagne de sensibilisation annuelle.
- Choisir une méthode qui n'exclut personne. Un agent de guichet sans téléphone professionnel ne doit pas se retrouver sans solution, sous peine de généraliser les dérogations. Une approche passwordless et IDless avec biométrie traitée localement, un QR code dynamique à usage unique et un enrôlement possible hors ligne s'adapte à un parc hétérogène sans imposer d'équipement individuel.
FAQ
Une petite commune est-elle concernée par ces scénarios ?
La taille ne protège pas : les campagnes d'attaque sont automatisées et les collectivités modestes disposent d'un patrimoine de données sensibles avec peu de moyens de détection. La différence porte sur les ressources disponibles, pas sur l'exposition.
Faut-il d'abord sécuriser les agents ou les usagers ?
Les agents. Un compte agent donne un accès large et durable, alors qu'un compte usager reste limité à un dossier. La sécurisation des téléservices relève d'une autre trajectoire, liée notamment à l'identité numérique européenne.
La mutualisation informatique améliore-t-elle la situation ?
Elle apporte de la compétence, mais elle élargit aussi la surface : un compte mutualisé compromis touche plusieurs entités à la fois. Le bénéfice n'est réel que si les habilitations sont cloisonnées par entité et revues régulièrement.
Comment gérer la contrainte des marchés publics ?
En dissociant l'urgence du projet de fond. Traiter en priorité une population restreinte de comptes à privilèges reste possible dans le cadre de dispositifs existants, pendant que le renouvellement du socle d'authentification suit son calendrier normal.
Aller plus loin : comprendre l'authentification cognitive · MFA fatigue et push bombing · NIS2 et secteur public · eIDAS 2 pour les administrations