Libercourt : la mairie confirme le vol de données personnelles

Libercourt, commune du Pas-de-Calais, a annoncé le 15 septembre 2026 avoir subi une attaque informatique à la fin du mois d’août. La phrase importante du communiqué, telle que la rapporte FrenchBreaches, ne laisse pas de place au doute : « Il est confirmé que des données personnelles ont été exfiltrées. »

Le mot est net. Il ne dit pourtant pas encore aux habitants ce qui a été pris.

Ce que la commune a dit

D’après FrenchBreaches, le communiqué indique que la menace a été identifiée rapidement, que le prestataire informatique de la ville est intervenu pour les vérifications techniques et l’évaluation des risques, et que les services municipaux ont continué de fonctionner. La mairie y déclare avoir signalé l’incident à la CNIL et à l’ANSSI, et avoir déposé plainte. Elle appelle les habitants à la vigilance face à l’hameçonnage.

Cyberattaque.org indique de son côté que la ville a confirmé l’exfiltration auprès de La Voix du Nord.

Précision de méthode : nous n’avons pas lu le communiqué original, absent ce 16 septembre des actualités de libercourt.fr, ni l’article de La Voix du Nord. Ce qui précède repose sur deux observatoires concordants. Ni le volume, ni les catégories de données, ni le nombre de personnes concernées n’ont été précisés.

La revendication de Kairos

Selon cyberattaque.org et FrenchBreaches, le groupe Kairos a inscrit la Ville de Libercourt sur son site de divulgation le 2 septembre 2026, en revendiquant 817 Go de données. Cyberattaque.org rapporte que les pièces présentées comme preuves comprennent des procès-verbaux, des pièces d’identité et des bulletins de paie. Nous n’avons consulté ni ce site ni ces fichiers, et ne pouvons les rapprocher du constat de la mairie.

Deux décalages méritent d’être signalés.

Le premier est une question de calendrier. La revendication date du 2 septembre, l’annonce aux habitants du 15. Nous ignorons à quelle date la CNIL a été notifiée, et donc si le délai de l’article 33 du RGPD a été tenu. L’écart ne prouve aucun manquement : notifier l’autorité et informer les habitants obéissent à des règles différentes.

Le second porte sur le mot « rançongiciel ». Ransom-ISAC, dans une analyse publiée le 3 juillet 2026, décrit Kairos comme un acteur d’extorsion par vol de données et souligne qu’aucun logiciel de chiffrement n’a été obtenu dans le cas étudié. Des services municipaux restés en fonctionnement seraient compatibles avec ce mode opératoire, sans le démontrer. Pour les habitants, la nuance compte peu : ce qui les expose, c’est le vol.

Nous qualifions l’incident de fuite de données confirmée par la victime, revendiquée par Kairos, avec un chiffrement non documenté.

Habitants de Libercourt : quoi faire concrètement

Une mairie traite état civil, inscriptions scolaires, urbanisme ou action sociale. Tant que la commune n’a pas précisé ce qui est sorti, chaque habitant peut raisonnablement se considérer comme exposé.

Attendez-vous à des messages ciblés. Le risque principal est un message qui connaît votre nom ou votre adresse et se présente comme venant de la mairie, de la cantine ou de votre banque. Rien ne permet de dire qu’un outil d’intelligence artificielle a servi dans cette attaque. L’ANSSI écrit en revanche, dans son Panorama de la cybermenace 2025, que ces outils permettent aux attaquants « d’améliorer le niveau, la quantité, la diversité et l’efficacité de leurs attaques ». Un faux avis municipal rédigé sans faute ne se reconnaît plus à son orthographe.

Vérifiez par un autre canal. Si un message réclame un paiement, une pièce justificative ou un RIB, appelez la mairie au numéro que vous connaissez déjà, comme le recommande Cybermalveillance.gouv.fr.

Ne donnez jamais un code reçu par SMS. Ni à un « conseiller bancaire », ni à un « agent municipal ».

Surveillez vos comptes et votre courrier. Un crédit jamais demandé ou un courrier d’un organisme inconnu peut signaler une usurpation d’identité : déposez plainte. Les SMS frauduleux se transfèrent au 33700, et la plateforme 17Cyber met en relation avec un policier ou un gendarme.

Demandez ce qui vous concerne. L’article 15 du RGPD vous permet d’interroger la commune sur les données qu’elle détient à votre sujet. Une collectivité est tenue de désigner un délégué à la protection des données (article 37), qui est l’interlocuteur de ce type de demande.

Agents municipaux : si des bulletins de paie figurent parmi les documents volés, vous êtes en première ligne. Méfiez-vous particulièrement de toute demande de changement de RIB ou de « régularisation de paie » qui ne passe pas par votre service habituel.

Ce que le RGPD impose à une commune

Une commune est responsable de traitement comme une entreprise, sans régime de faveur.

Article 33 : notifier la CNIL. Dans les 72 heures après avoir pris connaissance de la violation, sauf si elle ne présente pas de risque pour les personnes. Si la notification est tardive, elle doit être motivée. Toute violation est documentée, notifiée ou non.

Article 34 : informer les personnes. Lorsque le risque est élevé, les personnes doivent être informées « dans les meilleurs délais », en des termes clairs : nature de la violation, conséquences probables, mesures prises, contact du délégué à la protection des données. Le texte prévoit qu’une communication publique peut remplacer l’information individuelle si celle-ci exigerait des efforts disproportionnés, à condition d’être aussi efficace.

Un appel général à la vigilance est un début. Il ne dit pas à un habitant si son dossier est concerné, ni quelles précautions précises prendre. C’est souvent l’étape suivante qui manque : la liste des catégories de données touchées. Préparer les premières heures d’une crise, et le message aux usagers qui va avec, c’est l’objet de notre journée Réagir face à une cyberattaque : organisation et gestion de crise ; nos autres parcours figurent sur la page cybersécurité. DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480 — cet enregistrement ne vaut pas agrément de l’État —, et aucun financement OPCO, CPF ou France Travail n’est mobilisable à ce jour.

Pour les élus d’autres communes, un test simple : pourriez-vous dire demain à vos administrés, catégorie par catégorie, quelles données votre mairie détient sur eux et où elles sont stockées ?

Sources

• FrenchBreaches, fiche « Ville de Libercourt » (communiqué de la ville du 15 septembre 2026), consultée le 16 septembre 2026, statut « Confirmée ».
• FrenchBreaches, fiche « Ville de Libercourt » consacrée à la revendication de Kairos, 2 septembre 2026.
• Cyberattaque.org, « Ville de Libercourt : 817 Go de données revendiqués après une cyberattaque », 2 septembre 2026, mis à jour le 15 septembre 2026.
• Ville de Libercourt, libercourt.fr, page d’accueil et actualités consultées le 16 septembre 2026 : aucun avis sur l’incident.
• Ransom-ISAC, « Kairos Ransomware: Data-Extortion Case Study Involving a U.S. Government Entity », 3 juillet 2026.
• ANSSI, Panorama de la cybermenace 2025, 11 mars 2026.
• Cybermalveillance.gouv.fr, « Violation ou fuite de données personnelles, que faire ? », mise à jour du 26 août 2026.
• RGPD (règlement (UE) 2016/679), articles 15, 33, 34 et 37.
• Article de La Voix du Nord cité par cyberattaque.org : non consulté. Aucun site de revendication ni aucune donnée volée n’a été consulté pour cet article.