Maires de France : 114 000 lignes et des mots de passe en clair
114 000 lignes, revendiquées le 4 septembre 2026 sur un forum criminel par un compte nommé Alduin, à partir du site de l’Association des maires de France et des présidents d’intercommunalité. L’association a confirmé la fuite dans la journée et saisi la CNIL.
Les fichiers précédents dont nous avons parlé ici contenaient des salariés, des patients, des voyageurs. Celui-ci contient des maires, des adjoints, des directeurs généraux des services, des agents RH et des juristes territoriaux. Ce n’est pas la même exposition.
Ce qui est confirmé, ce qui ne l’est pas
L’AMF reconnaît l’incident et indique travailler à en déterminer le périmètre exact. Un audit est en cours. La saisine de la CNIL correspond à l’obligation de notification dans les 72 heures posée par l’article 33 du RGPD.
Tout le reste vient de l’attaquant. Alduin décrit une injection SQL de type UNION sur amf.asso.fr, qui lui aurait permis de sortir plusieurs tables. L’association n’a pas validé ce scénario technique, et nous le rapportons comme ce qu’il est : une revendication.
Les observateurs qui ont examiné la publication décrivent au moins trois ensembles. Une table d’abonnés : noms, prénoms, adresses électroniques professionnelles ou personnelles, fonctions, collectivité de rattachement. Une table de comptes dont les mots de passe sont protégés par des empreintes bcrypt. Et une troisième où ils sont enregistrés en clair.
La troisième table change tout
Un annuaire volé permet d’écrire un faux message. Un mot de passe en clair permet d’en envoyer un vrai.
Un courriel qui imite l’AMF finit par se repérer : un domaine approchant, une signature un peu fausse, un lien qui ne mène pas où il prétend. Un courriel expédié depuis un compte légitime ne présente aucun de ces signaux, parce qu’il n’en est pas un.
S’y ajoute le réflexe que personne n’a tout à fait abandonné. Un identifiant d’espace adhérent n’ouvre en principe qu’un espace adhérent. En pratique, le même couple sert souvent pour la messagerie de la mairie ou un portail de marchés publics. Le stockage en clair transforme un mot de passe de site associatif en clé à essayer ailleurs.
Ce que la fuite ajoute à ce qui était déjà public
Le nom du maire de votre commune est public, sa fonction aussi. Rien de tout cela ne s’achète sur un forum.
Ce que le fichier ajoute, c’est l’adresse à laquelle cette personne lit ses messages, parfois personnelle, et la fonction précise des agents qui l’entourent. Le chemin d’accès et l’organigramme.
Le sujet n’est pas théorique pour cette population : le législateur a reconnu son exposition avec la loi n° 2024-247 du 21 mars 2024 renforçant la sécurité et la protection des maires et des élus locaux, texte qui vise les violences et les menaces. Une adresse privée qui circule ne relève pas de ce cadre, mais un élu qui a demandé la confidentialité de ses coordonnées voudra savoir si elles figurent dans le lot.
En juillet 2026, une autre revendication, jamais confirmée officiellement, portait sur 91 213 enregistrements de BANATIC, la base du ministère de l’Intérieur recensant les intercommunalités. Si les deux fichiers existent tels que décrits, ils se complètent : structures et mandats d’un côté, adresses de l’autre.
Le faux ordre de virement, version mairie
Une commune ne paie pas comme une entreprise. L’article 9 du décret n° 2012-1246 du 7 novembre 2012 relatif à la gestion budgétaire et comptable publique rend incompatibles les fonctions d’ordonnateur et de comptable public. Un tiers indépendant se tient donc entre la décision de dépenser et le décaissement, ce qui rend l’arnaque au président nettement plus difficile qu’ailleurs.
Cette protection a une limite connue. Elle ne bloque pas la fraude au changement de coordonnées bancaires, qui ne demande jamais un virement exceptionnel : elle modifie le RIB d’un fournisseur réel, avant une facture attendue, et emprunte ensuite le circuit normal. Écrire cette demande de façon crédible supposait de connaître le service financier et le vocabulaire d’une intercommunalité. Un modèle de langage le fait maintenant à la chaîne, dans un français administratif correct. Le fichier fournit la matière ; la rédaction ne coûte plus rien.
Deux vérifications qui tiennent dans la semaine
Changer le mot de passe du compte AMF, et partout où il a resservi. Cette seconde partie est celle qu’on saute. Elle est pourtant la seule qui compte si le mot de passe figurait dans la table en clair. Activez en priorité l’authentification à deux facteurs sur la messagerie de la collectivité.
Écrire la règle du changement de RIB. Toute modification de coordonnées bancaires d’un fournisseur se vérifie par un appel sur le numéro déjà connu, jamais sur celui du message. Deux lignes affichées au service comptable suffisent à faire échouer la version la plus rentable de cette fraude.
Ces réflexes forment le socle de la formation Cybersécurité pour tous, et l’ensemble de nos parcours est présenté sur la page cybersécurité.
Une remarque pour finir, qui n’est pas une pique. L’AMF anime une rubrique cybersécurité destinée aux communes : un guide de sensibilisation des agents publié fin 2022 avec le GIP Cybermalveillance, et depuis mai 2026 une formation en ligne préparant les élus et leurs agents aux crises cyber. Cette maison-là sait de quoi il s’agit. Si une base de mots de passe en clair a tout de même subsisté sur son site, la question à poser dans les communes adhérentes n’est pas « comment ont-ils pu ». C’est : combien de bases de ce genre dorment dans nos propres applications, et qui en tient la liste ?