Joigny : près de 269 000 cyberattaques repoussées en une semaine La Ville de Joigny et la Communauté de communes du Jovinien, dans l’Yonne, indiquent avoir repoussé 268 795 tentatives d’attaques informatiques en seulement une semaine. Les attaques ont notamment ciblé des équipements réseau de la collectivité. Selon les responsables locaux, ces attaques n’ont pas eu de conséquence sur les systèmes d’information. Elles illustrent toutefois la pression exercée sur les infrastructures numériques des collectivités territoriales. Un attaquant est notamment parvenu à créer un compte administrateur sur un routeur ciblé. La collectivité affirme cependant que cet accès ne lui permettait pas de remonter dans ses systèmes d’information. 268 795 attaques informatiques détectées en sept jours La Ville de Joigny et la Communauté de communes du Jovinien ont enregistré 268 795 tentatives d’attaques informatiques en l’espace d’une semaine. Ce chiffre a pu être établi grâce aux outils de surveillance déployés par le service informatique de la collectivité. Ces dispositifs permettent notamment de repérer des comportements suspects et des connexions provenant d’adresses IP déjà identifiées comme malveillantes. Des routeurs ciblés par les attaquants Selon Éric Apffel, adjoint au maire de Joigny chargé du numérique, certaines attaques ont directement ciblé des routeurs du réseau informatique jovinien. L’élu évoque une série d’attaques de faible ampleur, rapidement détectées et contenues par les équipes techniques. L’un des attaquants aurait cependant été particulièrement actif, avec plus de 100 000 tentatives d’intrusion attribuées à une même source. Selon Éric Apffel, cet individu a pu être identifié grâce à un pseudonyme et une adresse IP. Un compte administrateur créé sur un routeur L’un des éléments les plus significatifs concerne la compromission d’un routeur. Selon l’adjoint au maire, un attaquant est parvenu à créer un compte administrateur sur cet équipement. Cette compromission serait toutefois restée limitée : d’après la collectivité, le pirate ne pouvait pas utiliser cet accès pour remonter vers les systèmes d’information internes. À ce stade, aucune compromission plus large des systèmes d’information ni fuite de données n’est signalée par la collectivité. Des serveurs notamment localisés en Russie Le maire de Joigny, Nicolas Soret, indique que les serveurs depuis lesquels provenaient les attaques détectées étaient principalement localisés en Russie, mais également à Taïwan et en Roumanie. Cette localisation technique ne permet toutefois pas d’établir la localisation réelle ou la nationalité des attaquants. Des pirates peuvent utiliser des serveurs intermédiaires, des machines compromises ou différentes infrastructures pour masquer leur véritable origine. Il n’est donc pas possible d’attribuer ces attaques à un pays sur la seule base des adresses IP détectées. Une surveillance renforcée du réseau La détection de ces centaines de milliers de tentatives repose notamment sur des outils développés par le service informatique local. Ces dispositifs permettent notamment de détecter : • des connexions provenant d’adresses IP considérées comme malveillantes ; • des comportements inhabituels sur le réseau ; • des tentatives d’accès suspectes ; • des actions ne correspondant pas à une utilisation normale des systèmes. Cette surveillance permet aux équipes informatiques d’identifier rapidement certaines activités hostiles et de les bloquer. Des procédures internes de sécurité renforcées La collectivité indique également appliquer des procédures internes strictes en matière de cybersécurité. Même les responsables informatiques utilisent des comptes disposant de droits limités pour leurs activités quotidiennes. Des mécanismes permettant de modifier automatiquement et régulièrement les mots de passe sont également utilisés sur les postes de travail. L’objectif est de réduire les possibilités d’action d’un attaquant en cas de compromission d’un compte ou d'un équipement. Aucune fuite de données signalée Malgré le nombre important de tentatives détectées, aucune fuite de données n’est signalée à ce stade. La collectivité n’indique pas non plus avoir subi de chiffrement de ses serveurs, d’interruption majeure de ses services ou de demande de rançon. L’incident le plus significatif communiqué concerne donc la création d’un compte administrateur sur un routeur, sans possibilité, selon la collectivité, d’accéder depuis celui-ci au reste du système d’information. Ce qui est confirmé À ce stade, les éléments communiqués sont les suivants : • 268 795 tentatives d’attaques informatiques ont été détectées en une semaine ; • la Ville de Joigny et la Communauté de communes du Jovinien sont concernées ; • certains routeurs ont été ciblés ; • plus de 100 000 tentatives auraient été attribuées à un même attaquant ; • un compte administrateur a été créé sur un routeur ; • cet accès n’aurait pas permis de remonter vers les systèmes d’information ; •
Ville de Joigny : cyberattaque et fuite de données — ce que l’on sait, que faire
