Cyberattaque à Betton : la vie de milliers d’habitants exposée sur internet

Le couperet est tombé pour la ville de Betton, au nord de Rennes, dans la nuit de vendredi à samedi. À 4 h 30, le groupe cybercriminel Medusa a commencé à publier les données sensibles des habitants, dérobées lors d’une vaste cyberattaque lancée deux semaines plus tôt contre la mairie.

La municipalité avait décidé de ne pas payer la rançon de 100 000 dollars réclamée par les hackers, avec une date butoir fixée à jeudi, conformément aux consignes de l’Agence nationale de la sécurité des systèmes d’information (Anssi). « À partir du moment où le compteur a expiré, on se disait que ça pouvait arriver à tout instant », souffle la maire, Laurence Besserve.

C’est le hacker éthique Clément Domingo, alias SaxX, qui a donné l’alerte, publiquement, sur X (anciennement Twitter) dans l’après-midi de samedi : « On compte, pour l’heure, entre 60 et 70 go de données décompressées : des pièces justificatives, des avis d’imposition, des quotients familiaux, tout ce qu’il y a de plus critique pour les administrés de la ville ! ». La mairie de Betton confirme que le vol concerne bien ce type de fichiers très sensibles. D’autres publications pourraient suivre dans les jours qui viennent, une habitude pour la « nébuleuse Medusa ».

Problème supplémentaire, celle-ci a choisi de les diffuser sur un canal presque grand public, l’application de messagerie cryptée Telegram et non sur le « dark web », une partie cachée d’Internet accessible seulement à des personnes aguerries. « C’est terrible, car les données vont être accessibles à tout le monde de manière très facile », constate SaxX.

Combien d’habitants pourraient être les victimes de ce vol gigantesque ? Selon le hacker éthique rennais, « au regard de la quantité d’informations publiées, on peut dire qu’au moins la moitié des Bettonnais sont impactés (sur une population de 12 000 habitants) ». De son côté, Laurence Besserve évoque « plusieurs milliers de personnes potentiellement concernées ».

Risque d’usurpation d’identité

Les infos qui ont fuité sont un véritable trésor pour hackers et pourront servir à usurper l’identité des Bettonnais. « On peut craindre des reventes d’informations, comme des pièces d’identité, sur certains forums cybercriminels. Il y a un fort risque de phishing aussi : avec l’envoi d’e-mails ou de SMS très personnalisés pour demander de communiquer ses coordonnées bancaires », liste SaxX.

Pour avertir ses administrés, la mairie de Betton a prévu de publier une déclaration lundi mais surtout de continuer « le travail d’analyse des fichiers pour, ensuite, communiquer individuellement ou collectivement avec les agents, les élus, et surtout les citoyens, en fonction des données identifiées ».

Pour les Bettonnais et leurs proches, des conseils sont déjà bons à suivre, pour les jours et semaines qui viennent et peut-être plus… « Il faudra faire preuve d’une extrême méfiance en cas de coups de fil bizarres, il vaut aussi mieux changer tous ses mots de passe car les données volées peuvent donner des indications, et aussi en parler autour de soi, afin d’alerter un maximum de personnes », égraine SaxX. « Une vigilance particulière est nécessaire concernant les mails reçus et ses comptes bancaires. Sur l’usurpation d’identité, on travaille avec des spécialistes de l’Ansii et de la gendarmerie pour donner les conseils les plus précis », complète Laurence Besserve.

La mairie de Betton, qui a déposé plainte dès le 31 août, travaille aussi à identifier le vecteur de l’attaque. « Ce n’est pas passé par l’envoi d’un e-mail ou d’une pièce jointe. Il s’agit plutôt d’une faille comme il peut en exister dans tout système : ils poussent un très grand nombre de portes et si une s’entrouvre, ils s’y engouffrent ! Il faut la colmater et faire tout pour que ça ne recommence pas », assure Laurence Besserve.

« En face, les cybercriminels n’ont aucune morale »

La maire précise aussi vouloir travailler sur le recensement des données et « bien cibler celles qu’on peut conserver, en fonction du RGPD (Règlement général sur la protection des données), et les supprimer quand on n’en a plus besoin. Il y a un travail de mise à jour à faire. On va aussi partager cette expérience malheureuse avec d’autres collectivités, pour qu’elle puisse leur servir ».

Le 17 août dernier, la mairie de Sartrouville, commune située en Île-de-France, avait également été touchée par une cyberattaque. Des bulletins de paie et des copies de pièces d’identité de personnes travaillant pour la municipalité avaient ensuite fuité dans la nature… Les hôpitaux de Brest et Rennes ont aussi été récemment paralysés par des attaques informatiques.

Le hacker éthique SaxX regrette, lui, qu’il faille « ce type de drame numérique pour qu’on se rende compte que la protection des données citoyennes doit être au cœur des mandats des maires car c’est toute la vie de leurs administrés qui est exposée. Or, les collectivités locales et les hôpitaux sont livrés à eux-mêmes car les budgets nécessaires ne sont pas alloués. Et en face, les cybercriminels n’ont aucune morale ».