Joigny : 268 795 attaques bloquées, ce que le chiffre ne dit pas

268 795 tentatives d’intrusion en sept jours. C’est le chiffre publié par Nicolas Soret, maire de Joigny, sur son compte Facebook, et repris le 11 septembre 2026 par ICI Auxerre et franceinfo. Il concerne les systèmes d’information de la Ville de Joigny et de la communauté de communes du Jovinien, dans l’Yonne. Selon la collectivité, ces tentatives proviennent de 97 376 adresses jugées malveillantes, rattachées à 1 901 attaquants distincts.

Le bilan annoncé tient en une phrase du maire : « aucune donnée personnelle n’a été volée ».

Une attaque, pas une fuite

Le cas de Joigny circule déjà ici ou là sous l’étiquette « fuite de données ». Au vu de tout ce qui a été publié, ce n’en est pas une. Une fuite suppose que des données sortent : un fichier copié, une base exposée, des informations proposées à la vente. Rien de tel n’est rapporté. La collectivité indique qu’aucun équipement n’a été endommagé et qu’aucune donnée personnelle n’a été volée. Aucune revendication ni demande de rançon n’a été signalée.

Tout n’a pourtant pas été arrêté à la porte, et c’est le détail le plus instructif de l’affaire. Éric Apffel, adjoint au maire chargé du numérique, explique à ICI Auxerre qu’« il y a eu une attaque qui a ciblé des routeurs ». Un même attaquant a concentré plus de 100 000 tentatives, 109 232 selon le décompte relayé par la presse. Et il « s’est créé un compte administrateur de ce routeur, mais cela ne lui permettait pas de remonter dans nos systèmes d’information ».

Un équipement réseau a donc bien été pris en main, au moins en partie. Le cloisonnement a tenu, d’après la collectivité. Nous n’avons aucun élément pour le contredire, ni pour le confirmer.

Côté détection, l’adjoint évoque une surveillance renforcée et des outils développés en interne par le directeur des services informatiques, « de petits outils qui écoutent ce qui se passe ». Les agents du service informatique travaillent avec des comptes aux droits limités. Aucune des sources consultées ne mentionne d’incident antérieur, de prestataire ou de nouveau pare-feu : nous n’en supposerons pas.

Ce que compte un compteur

Faisons la division. 268 795 tentatives en une semaine, cela fait environ 38 400 par jour, 1 600 par heure, une toutes les deux secondes et quelques. Aucune équipe humaine ne travaille à ce rythme.

La collectivité n’a pas publié sa méthode de comptage, et nous ne savons pas ce que recouvre exactement une « tentative » dans ses outils. Ce volume correspond en revanche à ce que l’ANSSI décrit dans son Panorama de la cybermenace 2025 : des équipements de bordure (pare-feu, VPN, routeurs exposés) visés par un « ciblage massif et opportuniste ». Des programmes balaient Internet, essaient des identifiants et des failles connues sur tout ce qui répond, sans savoir forcément à qui appartient la machine en face.

Un chiffre de blocage dit une chose utile : quelqu’un regarde.

Il laisse en revanche plusieurs questions ouvertes. Combien de ces tentatives étaient réellement dangereuses ? Combien sont passées sans être vues, puisqu’on ne compte que ce qu’on détecte ? Deux outils de filtrage ne comptent pas de la même manière, et un compteur plus élevé peut simplement signaler un outil plus bavard. Enfin, la localisation des serveurs (principalement en Russie, puis à Taïwan et en Roumanie, selon le maire) ne désigne pas l’origine des attaquants : serveurs loués, machines compromises et relais servent précisément à brouiller cette piste. Nous avons détaillé ce problème dans pourquoi désigner le coupable d’une cyberattaque est si difficile.

La leçon est dans le routeur

Le volume impressionne, mais la ligne qui compte est celle du compte administrateur créé sur un routeur. L’ANSSI l’écrit sans détour dans le même Panorama : « Un équipement exposé et vulnérable finit toujours par être pris pour cible. » L’agence rappelle que les interfaces d’administration sont des cibles de choix, dont l’exposition sur Internet « est à proscrire ». Lors du signalement d’une seule vulnérabilité, le CERT-FR a constaté plus de 3 700 interfaces d’administration exposées en France.

Pour une PME comme pour une commune, les priorités ne changent pas :

• Fermer les interfaces d’administration des box, routeurs et pare-feu à Internet, ou les restreindre à quelques adresses connues.
• Appliquer les correctifs de ces équipements, et savoir qui s’en charge. Si c’est le prestataire, l’écrire dans le contrat.
• Imposer l’authentification forte sur tous les accès distants. L’ANSSI relève que des comptes VPN qui en sont dépourvus restent un vecteur d’intrusion privilégié, jusque dans des cas de rançongiciel.
• Tenir une sauvegarde hors ligne des données essentielles et tester la restauration, comme le recommande le guide de l’AMF et de l’ANSSI destiné aux communes et intercommunalités.
• Écrire le scénario « tout est chiffré » dans le plan de continuité d’activité, avec la liste des prestataires à appeler, préparée avant l’incident.

Aucune de ces mesures ne fait monter un compteur. Ce sont pourtant elles qui décident de l’issue le jour où une tentative sur des centaines de milliers réussit.

Et l’intelligence artificielle ?

Rien de ce qui a été publié ne permet d’affirmer que l’IA a joué un rôle dans les tentatives contre Joigny. Nous l’écrivons parce que la tentation inverse est forte.

Ce qui est documenté, c’est la tendance générale. Selon l’ANSSI, les capacités issues de l’intelligence artificielle permettent aux attaquants « d’améliorer le niveau, la quantité, la diversité et l’efficacité de leurs attaques ». La quantité, l’automatisation classique l’assure déjà. Ce que l’IA peut changer, c’est la qualité de ce qui suit le balayage. La défense aussi repose sur des outils automatiques, mais aucun outil de tri ne remplace la décision de fermer ce qui n’a pas à être ouvert.

À qui s’adresser en Bourgogne-Franche-Comté

Les collectivités, PME, ETI et associations de la région peuvent contacter le CSIRT Bourgogne-Franche-Comté, centre régional de réponse aux incidents soutenu par le Conseil régional et l’ANSSI, au 0 970 609 909 (option 1). Il répond du lundi au vendredi, de 9 h à 12 h 30 et de 13 h 30 à 17 h. En dehors de ces horaires, l’appelant se voit proposer une redirection vers le CERT-FR. Le centre invite à l’appeler « dès que vous suspectez une activité anormale ». Partout en France, cybermalveillance.gouv.fr met en relation les victimes avec des prestataires de proximité.

Un dispositif souvent cité ne peut plus servir : les parcours de cybersécurité de l’ANSSI, financés par France Relance, sont clos. De 2021 à 2024, ils ont accompagné 945 entités, dont 707 collectivités territoriales.

Si vous dirigez une petite structure et voulez poser ces priorités par écrit, notre journée Sûreté et cybersécurité des PME/TPE : établir son premier plan d’actions est conçue pour cela, et l’ensemble de nos formations figure sur la page cybersécurité. DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480, et aucun financement OPCO ou France Travail n’est mobilisable à ce jour.

Une demande à faire cette semaine : réclamez à votre prestataire la liste des équipements dont l’interface d’administration est joignable depuis Internet. S’il met du temps à répondre, vous tenez déjà votre première action.

Sources

• ICI Auxerre, « Joigny : la ville et la communauté de communes visées par 200.000 attaques informatiques en sept jours », 11 septembre 2026.
• franceinfo avec ICI Auxerre, « Une communauté de communes de l’Yonne visée par plus de 200 000 attaques informatiques en une semaine », 11 septembre 2026.
• cyberattaque.org, « Cyberattaque contre la ville de Joigny : 268 795 tentatives d’intrusion en une semaine », 11 septembre 2026.
• Centre Europe Presse, « En Bourgogne, une petite commune victime de 269 000 cyberattaques en une semaine », 11 septembre 2026.
• ANSSI / CERT-FR, Panorama de la cybermenace 2025, CERTFR-2026-CTI-002, 11 mars 2026.
• AMF et ANSSI, Cybersécurité : toutes les communes et intercommunalités sont concernées, novembre 2020.
• CSIRT-BFC, « Le CSIRT-BFC est accessible 24/24 », 3 octobre 2024, et page de contact, consultée le 11 septembre 2026.
• ANSSI, « Anciens parcours de cybersécurité », cyber.gouv.fr, consulté le 11 septembre 2026.