Enseignements pour les administrations communales
- La fausse sécurité de la délégation informatique : « Notre informatique est gérée par un prestataire local » ne décharge en rien la municipalité de sa responsabilité politique et juridique.
- Les données des administrés prises en otage : Registre des habitants, fiscalité, aide sociale et procès-verbaux de conciliation sont régulièrement publiés sur le Darknet lors de chantages échoués.
- Un audit externe à prix adapté : Avec le forfait garanti de CHF 2'800 de Suisse Guard, toute commune, quelle que soit sa taille, peut auditer ses défenses sans grever ses finances publiques.
1. Anatomie des cyberattaques contre les communes suisses
Les petites et moyennes communes constituent des cibles privilégiées pour les affiliés ransomware. Contrairement aux grandes banques qui disposent de centres d'opérations de sécurité (SOC) 24/7, les administrations de district disposent souvent d'une équipe informatique réduite, voire d'un simple contrat de maintenance avec un installateur informatique régional.
Les vecteurs d'entrée restent invariablement les mêmes :
- Portails d'accès à distance mal sécurisés : Un VPN SSL ou un accès RDP ouvert sans deuxième facteur pour permettre au secrétaire communal de télétravailler.
- Hameçonnage d'un employé communal : Réception d'une fausse facture en pièce jointe ou vol d'identifiants par formulaire trompeur.
- Failles non corrigées sur les serveurs locaux : Serveurs Exchange ou pare-feux n'ayant pas reçu les correctifs de sécurité critiques publiés plusieurs mois auparavant.
2. Les 5 mesures d'urgence à voter par le Conseil communal
| N° | Action prioritaire | Bénéfice immédiat |
|---|---|---|
| 1 | Généralisation du MFA sur tous les comptes | Élimine 95 % des risques de prise de contrôle par mot de passe volé ou deviné. |
| 2 | Sauvegardes externalisées immuables | Permet de restaurer les registres communaux en 48h sans payer la moindre rançon. |
| 3 | Sensibilisation aux arnaques à la fausse facture | Protège la trésorerie communale contre les modifications frauduleuses d'IBAN. |
| 4 | Audit externe de la surface d'attaque | Identifie les failles invisibles avant que des criminels ne les exploitent. |
| 5 | Protocole de crise pré-établi | Assure le respect du délai légal de 24h pour la notification obligatoire à l'OFCS. |
