Dans le secteur public, l'hameçonnage réussit pour une raison structurelle : l'administration communique par courriel avec le monde entier, et ses processus sont publics. Les délibérations, les marchés attribués, les organigrammes et les adresses de contact sont accessibles à tous. Un attaquant n'a donc pas besoin de reconnaissance : le prétexte crédible est en ligne.
Deux cibles distinctes, deux logiques d'attaque
Le flux financier. Mandats, subventions, règlements de marchés : l'attaquant cherche à faire modifier des coordonnées bancaires fournisseur, ou à obtenir l'accès à la messagerie d'un responsable pour insérer une demande crédible dans une chaîne de validation réelle. Ce scénario ne demande aucune sophistication technique, seulement un compte compromis et de la patience.
Les données des administrés. État civil, aide sociale, urbanisme, scolarité, police municipale : ces fonds documentaires concernent des personnes qui n'ont pas choisi de fournir leurs données et ne peuvent pas changer de fournisseur. Une compromission a donc un coût politique et juridique disproportionné par rapport au volume de données.
À ces deux cibles s'ajoute un usage indirect : une adresse en domaine public est un excellent tremplin pour hameçonner d'autres administrations ou des entreprises locales, parce qu'elle inspire confiance.
Les prétextes qui fonctionnent dans une administration
| Prétexte | Cible interne | Signal d'alerte utile |
|---|---|---|
| Notification de marché public | Service achats, DGS | Lien vers un domaine proche mais non institutionnel |
| Message d'un élu ou du cabinet | Assistants, finances | Demande urgente hors circuit habituel |
| Portail de déclaration ou de subvention | Services techniques | Demande d'authentification non sollicitée |
| Avis RH, paie, mutuelle | Tous les agents | Période inhabituelle, urgence artificielle |
| Support informatique mutualisé | Agents multi-sites | Demande d'approbation d'une connexion non déclenchée |
| Sollicitation d'un administré | Guichet, état civil | Pièce jointe inattendue dans un flux entrant légitime |
La difficulté propre au secteur : le service au public impose d'ouvrir les messages entrants. Un guichet ne peut pas appliquer une règle de méfiance générale sans dégrader sa mission. La protection doit donc porter sur les conséquences d'un clic, pas seulement sur le clic.
Contraintes de moyens : ce qui rend la parade différente
Une petite collectivité n'a ni SOC, ni équipe d'astreinte, ni budget de licence par agent comparable à celui d'un grand compte. Trois conséquences pratiques :
- Les mesures doivent survivre sans supervision permanente. Un dispositif qui suppose une analyse humaine des alertes chaque nuit ne sera pas opérant.
- L'hétérogénéité est la norme. Applications métier anciennes, portails d'éditeurs différents, agents multi-employeurs, syndicats mixtes et groupements : le parc n'est pas homogène et ne le deviendra pas à court terme.
- La mutualisation est la seule échelle réaliste pour l'expertise, via les structures départementales ou régionales de services numériques.
C'est précisément le contexte où le déploiement en overlay d'une brique d'authentification au-dessus des accès existants est plus réaliste qu'un remplacement complet du socle d'identité.
Le cadre applicable et ce qu'il exige réellement
La directive NIS2 ((UE) 2022/2555) élargit le périmètre réglementé et couvre des entités de l'administration publique. Elle cite l'authentification multifacteur ou continue parmi les mesures de gestion des risques attendues, et introduit une responsabilité des organes de direction : le sujet n'est plus délégable au seul service informatique.
Le RGPD encadre les données des administrés, avec obligation de notification en cas de violation. La qualification SecNumCloud de l'ANSSI sert de repère pour l'hébergement des briques sensibles, et le règlement eIDAS 2 ((UE) 2024/1183) prépare l'arrivée du portefeuille d'identité européen, qui concernera directement les téléservices publics.
Parades applicables avec des moyens contraints
- Commencer par les comptes qui déclenchent de l'argent. Ordonnateurs, comptables, achats, régies : quelques dizaines de comptes à protéger fortement, pas des milliers. C'est la mesure la plus rentable.
- Imposer une validation d'intention sur le changement de coordonnées bancaires. Ce geste unique concentre l'essentiel du préjudice financier. Le protéger au niveau de l'action, et pas seulement au niveau de la connexion, coupe le scénario le plus fréquent.
- Retirer le SMS-OTP des parcours sensibles, conformément au classement « restricted » du NIST SP 800-63B, et ne jamais l'utiliser comme voie de récupération de compte.
- Cloisonner l'accès aux applications métier. Un SSO mal cadré transforme un compte hameçonné en accès général : il faut au minimum exiger une réauthentification pour les applications contenant des données d'administrés.
- Savoir révoquer. Un cookie de session capturé reste exploitable après un changement de mot de passe. La procédure de révocation doit être écrite, testée et exécutable par une personne d'astreinte, pas par le seul prestataire.
- Documenter la chaîne de signalement. Un agent qui a cliqué doit pouvoir le dire en une minute, sans crainte de sanction. C'est la mesure la moins chère et la plus efficace.
FAQ
Faut-il déployer la MFA à tous les agents d'un coup ?
Rarement. Un déploiement par cercles concentriques — comptes financiers, comptes d'administration, puis population générale — donne un résultat mesurable en quelques semaines et évite l'échec d'un projet global mal calibré.
Comment gérer les agents sans smartphone professionnel ?
En prévoyant des méthodes alternatives dès la conception : facteur ne dépendant pas d'un équipement personnel, enrôlement effectué hors ligne, ou dispositif partagé pour les postes de guichet. L'absence d'alternative génère des dérogations qui deviennent permanentes.
Le phishing par SMS concerne-t-il aussi les collectivités ?
Oui, notamment sur les numéros professionnels des cadres et élus, et sur les usagers via l'usurpation du nom de la collectivité. Communiquer publiquement sur les canaux que vous n'utiliserez jamais réduit la surface d'attaque côté administrés.
Que vérifier après une compromission avérée d'une boîte agent ?
Les règles de transfert automatique créées, les délégations de boîte, les modifications de coordonnées bancaires enregistrées depuis la date de compromission, et les sessions actives sur les applications métier. Le mot de passe se change en une minute, l'accès résiduel se cherche.
Aller plus loin : le facteur cognitif expliqué · une MFA réellement résistante au phishing · NIS2 dans le secteur public · déployer une MFA en overlay