Victime d’un incident de sécurité ?

Vous êtes victime d’un incident de sécurité ? Contactez notre CERT

24/07/2025

Cybersecurity Insights

Collectivités territoriales et cybersécurité : répondre à la menace cyber par une stratégie de résilience territoriale

Longtemps perçue comme une affaire d’État ou de grandes entreprises, la cybersécurité s’impose désormais comme un levier structurant de gouvernance locale. Derrière les réseaux d’eau, les systèmes d’alerte ou les services sociaux, ce sont les infrastructures du quotidien qui deviennent des cibles. Avec la directive NIS2, un tournant s’amorce : les collectivités ne sont plus à la périphérie du risque, mais au cœur des obligations. Leur protection exige une approche ancrée dans leurs réalités spécifiques – contraintes budgétaires, complexité administrative, diversité des missions – pour construire une résilience qui ne soit pas plaquée d’en haut, mais adaptée aux dynamiques propres à chaque territoire.

La politique française de décentralisation renforce le rôle stratégique des collectivités territoriales

Le mouvement contemporain de décentralisation n’a de cesse depuis 40 ans de renforcer les compétences et responsabilités des collectivités territoriales françaises, au premier rang desquelles les Régions, les métropoles, les EPCI et les communes. Des réformes successives, comme la loi de 2015 portant sur la Nouvelle Organisation Territoriale de la Républiques (NOTRe) ont participé au renforcement du rôle stratégique de ces collectivités, augmentant leur exposition au risque cyber.

Les 13 nouvelles Régions françaises ont ainsi gagné un poids politique et stratégique notable dans le pays. Leur périmètre d’actions élargi recouvre des dimensions particulièrement critiques : elles définissent et mettent en œuvre la stratégie de développement et d’attractivité économique du territoire (SRDEII), elles portent la compétence exclusive en matière d’aides aux entreprises, ou encore en matière d’aménagement du territoire, de transports, d’intermodalité, etc.

Ainsi, les collectivités territoriales sont bien plus que des échelons administratifs : elles sont le cœur battant de l’action publique, les garantes de services essentiels pour des millions de citoyens. De la gestion des lycées à l’organisation des transports, en passant par le soutien à l’innovation, leur champ d’action est vaste. À titre d’exemple, la Région Île-de-France concentre à elle seule plus de 5 milliards d’euros pour les lycées, pilote le réseau « Île-de-France Mobilités », et distribue de nombreuses subventions à des projets technologiques ou industriels.

En matière de numérique, plusieurs évolutions notables se sont imposées :

  • La transformation numérique des collectivités territoriales s’est accélérée depuis le début des années 2020 (une tendance encouragée par l’Etat qui a mobilisé près de 100 millions d’Euros via le fonds Transformation Numérique des Territoires (TNT)[1], leur surface d’attaque s’élargit, les exposant de manière croissante à des risques cyber souvent sous-estimés.
  • Le plan de lutte contre la fracture numérique a donné aux syndicats mixtes la possibilité de se voir déléguer la compétence d’un ou plusieurs réseaux de communications électroniques, accentuant l’important des enjeux de cybersécurité à l’échelon local.
  • En parallèle, le processus de rationalisation de l’intercommunalité et le renforcement de l’intégration communautaire, avec une accélération de la « métropolisation » modifient profondément l’organisation et les processus au sein de nos territoires, avec un double impact, technique et organisationnel, sur le risque cyber.

Cette décentralisation s’accompagne de risques cyber accrus

Selon le Baromètre 2024 de Cybermalveillance.gouv.fr, une collectivité sur dix a été victime d’une cyberattaque au cours des douze derniers mois, avec des conséquences concrètes telles que l’interruption de services publics (37 %) ou le vol et la détérioration de données (24 %).[2]

Le Panorama de la cybermenace 2024 publié par l’ANSSI confirme cette réalité de terrain : une organisation sur cinq touchée par un rançongiciel cette année était une collectivité territoriale. Les principales causes identifiées sont le phishing (30 %), les malwares (12 %) et l’exploitation de failles non corrigées (10 %).[3]

Par ailleurs, selon une étude conjointe de Cybermalveillance.gouv.fr et HarfangLab, 53 % d’entre elles se sentent aujourd’hui exposées à la menace cyber, et 37 % déclarent avoir déjà été victimes d’une attaque.[4] Ces données soulignent que les collectivités territoriales, y compris de taille modeste, sont désormais des cibles privilégiées pour les cybercriminels.

Malgré une sensibilisation croissante, les collectivités territoriales demeurent vulnérables face aux cybermenaces. Attaques par rançongiciels, fuites de données sensibles, paralysie des systèmes d’information… lorsqu’un service public local est touché, c’est la continuité de l’action publique, la sécurité des données personnelles, mais aussi la confiance des citoyens, qui se fragilisent.

Face à ces difficultés, les collectivités territoriales sont particulièrement exposées en raison de la diversité de leurs missions. Voici quelques exemples d’expositions et d’atteintes propres aux collectivités territoriales :

Exemples d'expositions
Exemples d'atteintes et de menaces
Références
Accompagnement d’un projet d’investissement étranger pour la création d’une usine.
Vol de données à but d’espionnage dans un contexte de concurrence accrue entre pays pour attirer les investissements étrangers.
La France a découvert une cyberattaque, avec l’identification de malwares présents sur les ordinateurs personnels de vigiles d’ambassades, révélant ainsi une opération d’espionnage menée par des services russes.[5]
Plan de soutien économique à des entreprises.
Vol de données à but d’espionnage économique ciblant des secteurs et/ou des entreprises données.
En mars 2022, une dizaine d’entreprises françaises du secteur du BTP ont été ciblées par une attaque par phishing avec pièce jointe Word malveillante, visant explicitement à voler des informations sensibles.[6]
Système d’alerte à la population par SMS.
Risque de prise de contrôle et d’envoi de message non désireux à portée politique ou d’entrave au bon fonctionnement.
En janvier 2024, le système national d’alerte du Luxembourg, LU-Alert, a été victime d’une cyberattaque par phishing (smishing). Des messages frauduleux ont été envoyés aux citoyens, imitant les alertes officielles, afin de les inciter à divulguer des informations sensibles. [7]
Systèmes de vidéo protection.
Risque de sabotage (arrêt des circuits de vidéo surveillance).
En mai 2025, des cyberattaquants russes ont ciblé des caméras de surveillance aux frontières de l'Union européenne, notamment en Pologne, en Lituanie et en Ukraine.[8]
Transports publics avec numérisation des tickets et des abonnements ou géolocalisation de la flotte de matériels roulants.
Risque financer lié au détournement du service (falsification, usage de faux…) ou risque de sabotage (interruption de service…).
En octobre 2023, Île-de-France  Mobilités a été victime d’un piratage : 4 000 adresses email et mots de passe de ses utilisateurs ont été récupérés via son service de gestion des abonnements numériques.[9]
Fichiers d’état civil.
Outil de gestion inaccessible pour la collectivité et/ou vol et revente des données des administrés.
En mars 2020, la ville de Marseille a subi une cyberattaque de type ransomware qui a paralysé son système d’information. Environ 90 % de ses serveurs ont été chiffrés, rendant inaccessible une partie des services numériques, y compris l’enregistrement des actes d’état civil.[10]
Services informatiques d’un EHPAD.
Attaque de type ransomware interrompant l’ensemble des moyens IT et portant atteinte à l’activité avec un impact sur les résidents.
En octobre 2023, l’Ehpad “Les Hortensias” à Marigny-le-Lozon (Manche) a été victime d’un ransomware revendiqué par le groupe Medusa, qui a exigé une rançon et divulgué sur le darknet des données d’identité de résidents.[11]
Collecte et traitement des déchets.
Risque d’interruption de services en cas d’indisponibilité des systèmes de gestion d’eau et de tournées, des processus de gestion du traitement des déchets.
En 2021, la ville de Baltimore, aux États-Unis a subi une cyberattaque majeure par ransomware qui a paralysé plusieurs services municipaux, y compris la gestion des déchets.[12]
Gestion des ressources (énergie et eau).
Risque de vol de données sensibles (sur la consommation d’entreprises par exemple), risque financier en cas d’interruption de service, risque de sabotage.
En janvier 2024, la société ukrainienne de gestion de l’eau potable Lvivteploenergo a été victime d’une cyberattaque impliquant le malware FrostyGoop. Les attaquants ont exploité des vulnérabilités dans le protocole Modbus pour manipuler les capteurs de température, entraînant une coupure de chauffage et d’eau chaude dans plus de 600 immeubles.[13]
Prestations sociales nécessitant l’inscription et la gestion dématérialisées.
Risque financier (contournement, indisponibilité du service…) et risque social.
En juillet 2025, une cyberattaque sur France Travail a compromis les données personnelles de 340 000 demandeurs d’emploi via un compte d’organisme de formation piraté, sans affecter les données bancaires.[14]
Services interconnectés avec des services d’identification nationaux (France Connect).
Risque d’usurpation d’identité, de vol et revente des données des administrés.
Une vaste campagne de phishing a ciblé les utilisateurs de France Connect via de faux e-mails imitant les notifications de connexion.[15]
Systèmes de vidéosurveillance mise en œuvre de façon locale ou centralisée.
Mise en échec des systèmes de sécurisation augmentant la vulnérabilité des lieux protégés
Des hackers ont exploité des failles dans des caméras IP connectées, laissant la vidéosurveillance accessible depuis Internet ; certains flux vidéo publics ou professionnels ont ainsi été altérés ou rendus inopérants, ce qui a compromis la sécurité des lieux protégés.[16]
Systèmes de gestion des places de stationnement et des contraventions associées.
Exploitation d’une vulnérabilité bloquant le système de paiement.
La ville d’Annecy a subi plusieurs cyberattaques ciblant notamment ses systèmes de gestion numérique, incluant potentiellement ceux liés au stationnement et au paiement. En réponse à ces cyberattaques, entre 2020 et 2023, Annecy a considérablement renforcé sa cybersécurité, augmentant son budget annuel de 50 000 € à 400 000 €, pour un total de 730 000 € investis depuis 2020.[17]
Services internes à la collectivité (comptabilité, ressources humaines, etc.).
Attaque de type phishing et vol de données.
En mars 2023, la mairie de Lille a subi un piratage via phishing ciblant ses services internes.[18]

Quelques exemples de cyber attaques récentes ayant ciblé des collectivités

2025 – Cyber attaque contre le département des Hauts-de Seine

En mai 2025, le département des Hauts-de-Seine subit une cyberattaque ayant entraîné la paralysie de ses systèmes d’information et de ses moyens de communication. Une intrusion avait déjà été constatée en 2023. Cette nouvelle attaque survient deux mois après celle ayant visé la Métropole du Grand Paris, qui s’était traduite par une fuite de données personnelles concernant environ 5 000 personnes, parmi lesquelles 250 agents, 208 élus et l’ensemble des partenaires de la collectivité territoriale.

2025 – Cyber attaque contre la commune de Thaon

En mars 2025, la commune de Thaon a été victime d’une cyberattaque de type ransomware ayant entraîné le blocage de ses systèmes informatiques et le chiffrement de nombreuses données.[19]

Aucune preuve de vol massif de données n’a été établie à ce jour mais certaines informations auraient néanmoins été divulguées sur un site de leak, suggérant une possible exfiltration partielle. Les attaquants réclamaient le versement d’une rançon en échange de la restitution de l’accès aux fichiers ou pour empêcher la diffusion des données potentiellement compromises.

Protéger ces structures n’est donc pas une option, mais un impératif, auquel les collectivités territoriales, leurs élus, et les acteurs cyber doivent répondre de manière coordonnée et adaptée à chaque territoire.

2024 – Cyber attaque contre une vingtaine de communes et métropoles françaises

Le 31 décembre 2024, plusieurs collectivités territoriales françaises ont été la cible d’une cyberattaque, revendiquée par le groupe de militants pro-russes NoName057(16).

Cette attaque par déni de service distribué (DDoS) a temporairement rendu indisponibles les sites internet d’une vingtaine de collectivités, parmi lesquelles Nantes, Angers, Poitiers, Bordeaux et Marseille.

Le mode opératoire consistait l’inondation d’un site précis de connexion jusqu’à ce qu’il plante. Bien qu’aucune fuite ni vol de données n’ait été constaté, cette opération a mis en lumière la vulnérabilité persistante des services numériques des collectivités face à des attaques perturbatrices, même sans intrusion dans les systèmes internes. [20]

Les collectivités territoriales, une cible de choix pour les attaquants ?

La fragilité des collectivités repose sur des contextes et des défis propres à ces organisations : comprendre ce contexte particulier est la première étape pour apporter les solutions et les réponses appropriées face au risque cyber.

  • Un déficit de maturité et de culture cyber pour les plus petites d’entre elles

Près d’une commune sur cinq ignore son niveau d’exposition au risque numérique (Cybermalveillance.gouv.fr). Les élus et agents expriment un sentiment d’impuissance, lié à un manque de compétences (45 %), de ressources (38 %) et de temps (37 %). Ce déficit se traduit par des mesures de prévention lacunaires ou inadaptées…

  • Des moyens limités et une pression budgétaire accrue

La majorité des collectivités, environ 73%, avaient en 2024 un budget informatique annuel inférieur à 5 000 €, et 77 % d’entre elles y consacraient moins de 2 000 € en cybersécurité.[21] Ce budget limité restreint l’accès à des prestataires spécialisées et fragilise la résilience des systèmes IT, tant techniquement que fonctionnellement.

Dans le contexte économique et budgétaire français, depuis la dissolution en 2024, les incertitudes politiques et les tensions sur les finances politiques ont renforcé la pression sur les budgets des collectivités territoriales : seules 10% des collectivités déclarent prévoir un report à la hausse de leur budget cyber. Cette hausse ne concernait que 5% des communes de moins de 1000 contre 23% des plus de 1000.[22]

  • L’interconnexion territoriale et les risques d’effets de bord

Encouragés par les politiques nationales, les mouvements de concentration des services au sein de groupements de communes par exemple, accentuent le risque cyber : dans son rapport, l’ANSSI indique ainsi « qu’en raison d’interconnexions ou de regroupement des systèmes d’information, les compromissions observées peuvent également avoir des effets de bord sur d’autres collectivités territoriales ». Une approche territoriale globale et cohérente apparaît donc nécessaire pour adresser le risque cyber pesant sur nos collectivités.

  • L’enjeu politique

Les collectivités territoriales évoluent dans un environnement marqué par des contraintes spécifiques : enjeu politique pour les élus en charge des collectivités face aux administrés qui les élisent, instabilité liée aux cycles des mandats et professionnalisation insuffisante des fonctions en lien avec la cybersécurité. Ces éléments introduisent des facteurs de risque et des contextes particuliers qui doivent être pris en compte pour accompagner ces acteurs.

  • La commande publique : levier stratégique, contrainte opérationnelle

La commande publique constitue un levier majeur pour renforcer la cybersécurité des collectivités territoriales, mais elle est encore trop souvent perçue comme un frein. Les contraintes réglementaires, les délais de passation, la complexité des procédures ou le cloisonnement entre directions opérationnelles et services achats freinent parfois la mise en œuvre rapide de solutions cyber adaptées. Par ailleurs, la méconnaissance des offres disponibles ou des critères techniques spécifiques à la cybersécurité limite la capacité des collectivités à formuler des besoins précis et à évaluer les offres pertinentes.

Pour surmonter ces obstacles, les collectivités peuvent s’appuyer sur des centrales d’achats spécialisées telles que le RESAH, CANUT ou l’UGAP. En proposant des offres qualifiées et accessibles, elles permettent aux collectivités de contourner certaines lourdeurs administratives et d’accéder plus rapidement à des solutions adaptées.

L’usage de ces centrales constitue une réponse pragmatique aux contraintes internes des collectivités. Il permet d’optimiser les délais, de garantir la conformité juridique et de mutualiser les coûts. Encore sous-utilisées, ces plateformes doivent désormais être intégrées dans les stratégies territoriales de sécurisation des systèmes d’information.

Ainsi, les collectivités territoriales sont en première ligne face à la menace cyber, mais bien souvent sous-dotées pour y faire face.

L’arsenal de défense reste fragile, alors même que la surface d’attaque s’élargit.

Mise en perspective NIS2 : une responsabilité accrue des entités publiques

La directive NIS2 renforce les règles de cybersécurité pour les collectivités territoriales, bien que son application concrète reste à préciser au niveau national. En effet, la transposition de NIS2 dans la loi nationale est en cours d’examen par l’Assemblée nationale avec une échéance prévue pour septembre 2025. NIS2 inclut dorénavant dans son périmètre les collectivités territoriales et introduit donc de nouvelles obligations de cybersécurité pour celles-ci, avec un périmètre d’application élargi. Au total, près de 2 500 structures publiques locales, dont 1 489 entités essentielles et 992 entités importantes, sont concernées.[23]

Sont considérées comme entités essentielles :

  • Les régions, départements et communes de plus de 30 000 habitants,
  • Les métropoles, communautés urbaines et communautés d’agglomération comptant au moins une commune de plus de 30 000 habitants,
  • Les syndicats intervenant dans des secteurs critiques (eau, énergie, transports…) et desservant plus de 30 000 habitants,
  • Les SDIS, centres de gestion et organismes interdépartementaux ayant des missions critiques,
  • Les opérateurs publics essentiels (régies d’eau, d’assainissement, d’énergie, de recharge électrique…).

Sont considérées comme entités importantes :

  • Les communautés d’agglomération sans commune de plus de 30 000 habitants,
  • Les communautés de communes et leurs EPA intervenant dans des secteurs critiques,
  • Certains EPIC et régies autonomes opérant dans des secteurs sensibles ou dépassant 50 agents ou 10 M€ de bilan.

Même si une phase transitoire de trois ans est prévue avant l’entrée en vigueur des sanctions, les exigences sont claires :

  1. Mise en place d’une gestion des risques
  2. Partage d’informations cyber
  3. Déclaration des incidents[24]

Selon l’ANSSI, ainsi qu’une étude de l’IDATE sur l’implémentation de la directive NIS2, atteindre les exigences de NIS2 nécessitera presque un triplement des budgets cybersécurité, pour atteindre 10 à 12 % des dépenses IT.[25] Dans un contexte de menace élevée, cette évolution représente une opportunité de structurer durablement la gouvernance cyber locale.

Réactions imposées par NIS2 

  • Montée en compétences nécessaire : NIS2 impose une culture du risque numérique. Cela impose la sensibilisation des élus et le renforcement des équipes informatiques.
  • CSIRT régionaux : Les CSIRT régionaux jouent un rôle central dans l’écosystème NIS2. Avec un appui aux collectivités territoriales dans la détection et la gestion des incidents, l’assistance technique en cas d’attaque ou encore la mise à disposition d’outils mutualisés de supervision ou d’alerte, ces centres sont des partenaires stratégiques pour les collectivités territoriales. Pour autant, la question de la pérennité de leur financement semble se poser : l’Etat avait soutenu le lancement des CSIRT régionaux, soit pour une période de fonctionnement de l’ordre de 12 à 18 mois, il revient désormais aux Régions d’assurer leur financement.
  • Mutualisation : La réponse aux cyberattaques ne peut plus être isolée. Toutes les collectivités territoriales n’ont pas les ressources humaines et financières pour répondre aux exigences NIS2. Ainsi il est impératif de mutualiser les moyens cyber.
  • Industrialisation et outillage : Faire face à la massification des attaques, dans un cadre budgétaire contraint , nécessite de construire des réponses combinant expertise (services) et outillage (via des solutions techniques de confiance). Cette approche “solution” doit permettre d’assurer une cyberdéfense en continu.

Etude de cas : la Métropole du Grand Paris

En Île-de-France, les enjeux se complexifient. Région la plus peuplée et la plus numérisée de France, elle concentre un écosystème dense et fortement interconnecté, où les conséquences d’une cyberattaque peuvent prendre une ampleur systémique. Une attaque peut perturber la vie de millions d’usagers. Cette densité de services publics critiques (hôpitaux, transports régionaux, établissements scolaires…) couplée à une forte circulation des données entre acteurs publics et privés, fait du territoire une cible prioritaire pour les cybercriminels.

En réponse à cette menace cyber, la Métropole du Grand Paris (MGP) a officiellement présenté CYBIAH à VivaTech 2025, illustrant l’importance d’une stratégie territoriale coordonnée, fondée sur un partenariat public-privé visant à accompagner 130 communes d’Île de France dans le renforcement de leur cybersécurité. La mise en œuvre technique est financée à hauteur de 50 %, avec un plafond fixé à 200 000 € par projet, via le Fonds « Innover dans la Ville ». Ce cas pratique met en lumière un modèle opérationnel : mutualiser les diagnostics et plans d’action à l’échelle territoriale, avec un financement partagé et un accompagnement expert. À ce jour, une première phase du programme a déjà séduit 12 communes en dix jours, et intègre dès maintenant un volet d’accompagnement à la directive NIS2, avec des contrôles d’environ 250 points de maturité. Dans ce contexte, il devient crucial de structurer une réponse collective, territorialisée, et fondée sur la coopération entre les acteurs publics et privés. C’est également tout l’enjeu du développement des CSIRT régionaux, qui visent à renforcer les capacités locales de détection, d’alerte et de réponse à incident.

Almond et Board of Cyber, acteurs clés du secteur, ont ainsi été retenus pour appuyer la mise en œuvre opérationnelle du programme.

Board of Cyber intervient dès le début avec son offre non intrusive permettant de cartographier de manière précise le niveau d’exposition cyber des 131 communes concernées. L’objectif est d’offrir une évaluation rapide et fiable ainsi qu’orienter les priorités d’action vers les collectivités territoriales vulnérables.

Le groupe Almond (Almond & Amossys) s’inscrit dans la continuité de cette logique territoriale en appuyant le développement des CSIRT régionaux. Déjà référencée auprès de plusieurs structures (CSIRT Grand Est, ARNia Bourgogne-Franche-Comté, Breizh Cyber), l’entreprise met son expertise au service des capacités locales de détection, d’alerte et de réponse à incident. La montée en puissance des CSIRT régionaux témoigne d’une cyber résilience ancrée dans les territoires et capable de répondre aux menaces cyber de manière plus efficace.

Pour conclure

Malgré une prise de conscience collective et progressive, les mêmes fragilités continuent de produire des incidents très similaires. Face à ce constat, les réponses doivent être à la hauteur des enjeux, telles que la mutualisation, la co-construction de stratégies territoriales avec les CSIRT régionaux ou encore la montée en compétences des agents.

La cybersécurité ne peut plus être considérée comme une contrainte technique pour ces collectivités territoriales car celle-ci est désormais une condition sine qua non du bon fonctionnement des services publics locaux, de la protection des citoyens et de la souveraineté numérique des territoires.

Antoine HAUTIN

Directeur Associé

Ana GOBILLON

Chargée d’Affaires Publiques

Notes de bas de page

Voir les derniers Cybersecurity Insights

4 novembre 2025
Comme chaque année, SWIFT met à jour son standard CSCF et apporte son lot de nouveautés. Il peut s'avérer complexe […]
Read more
20 octobre 2025
La référence mondiale ISG distingue Almond dans les six domaines clés de la cybersécurité, confirmant la solidité de son expertise […]
Read more
10 septembre 2025
Téléchargez l'étude complète "Voices of CISOs" en complétant le formulaire ci-dessous.
Read more
16 juillet 2025
De la météo à la géolocalisation, des télécommunications à la défense, nos infrastructures spatiales sont devenues un incontournable de notre […]
Read more
22 mai 2025
À l’heure où les avancées technologiques redessinent nos usages, nos économies et nos institutions, les menaces cyber sont désormais impossibles […]
Read more
cyber résilience
16 avril 2025
Cybermenaces en hausse, tensions géopolitiques : l'Europe doit faire de la cyber résilience une priorité stratégique pour préserver sa souveraineté […]
Read more
11 avril 2025
Découvrez comment la gamification peut améliorer l'impact de la sensibilisation à la cybersécurité. Profitez-en pour découvrir le Cyber Game, une […]
Read more
12 mars 2025
Cet article présente un retour d’expérience sur deux missions menées par le CERT, illustrant des méthodes d’attaque distinctes employées par […]
Read more
10 février 2025
L'année 2024 s'illustre par une augmentation continue des attaques ciblant l'Europe, avec des conséquences préoccupantes... ▶ Téléchargez l'Observatoire des cybermenaces, […]
Read more
30 janvier 2025
Sociétés et prestataires, Almond vous propose de répondre à toutes vos questions sur ce référentiel et la qualification PACS qui […]
Read more
Twitter Linkedin Facebook Youtube Instagram

Nous vous souhaitons de joyeuses fêtes de fin d’année hautes en couleur et à l’année prochaine pour une année 2025 exaltante ! 🎉

🎁 Merci à tous pour votre participation au quiz de l’avent, nous contacterons le gagnant très prochainement.

🎅 Chez Almond, l’esprit festif des fêtes de fin d’année est arrivé en avance !

Nos collaborateurs ont profité d’une soirée chaleureuse et joyeuse dans l’un des restaurants les plus spectaculaires de Paris, Le Cirque avec un cocktail dinatoire, des surprises et un Secret Santa.

Et un peu plus de magie de Noël ? Almond a également ouvert ses portes aux familles de nos collaborateurs pour une après-midi conviviale autour de l’arbre de Noël. Les enfants ont été captivés par des contes enchantés, de 1001 contes Constance Felix et ont savouré un goûter délicieux avec des chocolats chauds préparés par les Empotés. Le Père Noël a distribué des coloriages géants et des cadeaux pour le plus grand bonheur des enfants 🎁

Joyeuses fêtes de fin d'année 2023 !

Jour 23 |

Jour 22 | Laquelle de ces menaces n’est pas un cryptoransomware ?

  • Réponse 1 : Lockbit3
  • Réponse 2 : Phobos
  • Réponse 3 : NotPetya
  • Réponse 4 : WannaCry

Laïus explicatif : Bien que NotPetya ressemble à un ransomware, il s’agit en réalité d’un wiper. Ce malware rend indisponible les fichiers de la victime, mais ne fournit aucun moyen de les déchiffrer, même après le paiement de la rançon. L’objectif principal de NotPetya n’est pas l’extorsion financière, mais la destruction de données.
En cas d’incident, voici les coordonnées de notre CERT : [email protected] +33 (0)1 83 75 36 94

Jour 21 | Vous dialoguez via votre terminal avec un service distant et vous vous rendez compte qu'il contient un stack-based overflow. Vous cherchez à l'exploiter à l'aveugle et trouvez finalement l'offset de l'adresse de retour, après avoir contourné les éventuelles protections. Vous cherchez maintenant un stop gadget pour continuer votre exploitation. Quelle est son utilité :

  • Réponse 1 : interrompre à la demande le flux d’exécution du binaire distant le temps de l’exploitation
  • Réponse 2 : obtenir une exécution fiable et maîtrisée avec un comportement reproductible
  • Réponse 3 : pouvoir mettre en pause le binaire temporairement pendant l’envoi de la payload
  • Réponse 4 : pouvoir stopper proprement le binaire afin d’éviter un éventuel crash à la fin de l’exploitation

Laïus explicatif : L’exploitation se déroulant en aveugle, il est nécessaire de trouver une adresse permettant d’obtenir un comportement particulier et reproductible à chaque exécution, comme l’affichage du texte « Bye ». Si une telle adresse est trouvée, elle correspond au stop gadget. Il permettra donc de continuer l’exploitation et de valider ou invalider nos déductions lors de l’exécution du binaire.

Jour 20 | Le terme "spam" pour désigner les messages indésirables provient initialement

  • Réponse 1 : D’une marque de jambon en boîte
  • Réponse 2 : D’un acronyme signifiant « Stupid Pointless Annoying Messages »
  • Réponse 3 : D’un sketch des Monty Python
  • Réponse 4 : D’un code utilisé pendant la Seconde Guerre mondiale

Laïus explicatif : Ce mot, à l’origine un acronyme de : SPiced hAM (du jambon épicé en boîte vendue par une entreprise américaine), est repris en masse, pour brouiller la conversation, dans un sketch des Monty Python.

Jour 19 | L’acronyme PACS désigne  :

A. Un format permettant la visualisation des images dans l’imagerie médicale

B. Un système d’archivage et de communication d’images dans l’imagerie médicale

C. Un prestataire d’audit et de conseil en cybersécurité

D. Un pacte civil de solidarité

  • Réponse 1 : L’ensemble des réponses
  • Réponse 2 : Réponses C et D
  • Réponse 3 : Réponses B, C et D
  • Réponse 4 : Réponses A, C et D

Laïus explicatif :

Un PACS, dans le secteur de l’imagerie médicale, désigne effectivement un système (et non un format) signifiant « Picturing Archiving and Communication System » permettant de gérer les images médicales grâce à des fonctions d’archivage.

De plus, depuis septembre, l’ANSSI a publié un référentiel d’exigences qui permet aux commanditaires de prestations de sécurité de bénéficier de garanties sur les compétences des prestataires, sur le processus d’accompagnement et de conseil, ainsi que sur la sécurité des systèmes d’information associés. Ce référentiel vise à reconnaître officiellement les prestataires en tant que « Prestataires d’accompagnement et de conseil en sécurité ».
Enfin, en France, le PACS désigne aussi une forme d’union civile dénommée Pacs.

Jour 18 | En quelle année l'ANSSI prévoit de ne plus recommander l'utilisation de certains algorithmes de chiffrement classiques en raison de l'augmentation de la puissance de calcul des ordinateurs classiques et de la menace posée par les ordinateurs quantiques ?

  • Réponse 1 : 2026
  • Réponse 2 : 2030
  • Réponse 3 : 2035
  • Réponse 4 : 2050

Laïus explicatif : Dans son dernier avis sur la migration vers la cryptographie post quantique, paru en janvier 2024, l’ANSSI encourage tous les éditeurs à mettre en œuvre dès à présent une hybridation entre la cryptographie standard et la cryptographie post-quantique (pour les produits qui doivent protéger des informations après 2030) et recommande d’utiliser en priorité la cryptographie post-quantique à partir de 2030.  

Jour 17 | Quelle est la dernière course à laquelle j’ai participé ?

  • Réponse 1 : Le Vendée Globe
  • Réponse 2 : National Figaro 3 en équipage
  • Réponse 3 : La Solitaire du Figaro Paprec
  • Réponse 4 : Le Havre Allmercup

Laïus explicatif : Le National Figaro 2024 s’est déroulé du 4 au 6 octobre dernier à Lorient. Thomas et son équipe sont arrivés en 2e position ! Cette course clôture ainsi la saison 2024 sur le circuit Figaro. 

Jour 16 | Quel est le scénario proposé dans notre solution d'émulation d'adversaire M&NTIS Platform qui permet d'effectuer une attaque de type wiping par GPO sur un système d'information ?

  • Réponse 1 : Aetheris

  • Réponse 2 : Venopie

  • Réponse 3 : Lumidus

  • Réponse 4 : Pandama

Laïus explicatif : Au sein de la plateforme d’attaque – défense M&NTIS, le scénario Pandama propose une kill chain dont l’impact, après compromission du contrôleur de domaine, permet de déployer, par GPO, une charge utile effaçant les données présentes sur les systèmes de fichiers du SI simulé.

Pour rappel, basé sur les technologies d’émulation d’adversaire et de Cyber Range, M&NTIS permet d’exécuter des campagnes d’attaques réalistes afin de challenger dans un environnement immersif les procédures et l’expertise des équipes SOC et CERT. M&NTIS répond ainsi aux enjeux d’amélioration continue de la défense.

Jour 15 | Quel type de menace ne fait pas parti de l’insider threat?

  • Réponse 1 : Malicious
  • Réponse 2 : Ransomware group
  • Réponse 3 : Negligent
  • Réponse 4 : Vendors

Laïus explicatif : Almond a proposé une étude sur la menace interne qui décrit chaque type d’insider. Les groupes de ransomware sont externes à l’entreprise mais peuvent recruter des employées pour récupérer des accès valides et compromettre l’entreprise. Retrouvez l’étude ici.

Jour 14 | Selon vous, quelle proportion des cyberattaques réussies sont liées à une erreur humaine ?

  • Réponse 1 : 40%

  • Réponse 2 : 100%

  • Réponse 3 : 70%

  • Réponse 4 : 90%

Laïus explicatif : 90% des cyberattaques trouvent leur origine dans une erreur humaine. L’erreur humaine en cybersécurité englobe toutes les actions, conscientes ou non, qui exposent les systèmes et les données à des menaces. Cela inclut des gestes apparemment innocents, comme le fait de :

  • Cliquer sur les liens malveillants
  • Utiliser des mots de passe faibles ou partagés
  • Partager des informations sensibles
  • Négliger la mise à jour des logiciels et systèmes
  • Commettre une erreur de configuration ou mal administrer les accès
  • Utiliser des clés USB non sécurisées ou prévenant de sources inconnues

Jour 13 | Almond & Amossys sont présents en France et à l’international pour garantir proximité et réactivité grâce à nos services 24/7. Dans quels pays se trouvent nos équipes ?

  • Réponse 1 : FRA – CHE – AUS – JPN

  • Réponse 2 : FRA – CAN – CHE – KOR

  • Réponse 3 : FRA – AUS – CAN – GBR

  • Réponse 4 : FRA – BEL – ITA – USA

Jour 12 | Challenge OSINT

Val Thorens

Laïus explicatif : Depuis plusieurs années consécutives, notre CSE organise des séjours à Val Thorens pour profiter des sports d’hiver. Que l’on aime dévaler les pistes de ski à toute allure, tenter l’aventure en prenant des cours d’initiation ou simplement déguster une raclette après une randonnée raquette et un passage à la piscine et au sauna, ce séjour est l’occasion de partager des moments convivaux avec ses collègues ! TIC, TAC, le prochain séjour ski approche à grands pas !

Jour 11 | Parmi ces propositions, quelle technique Mitre Atta&ck est la plus utilisée par les attaquants ?

  • Réponse 1 : OS Credential Dumping
  • Réponse 2 : Valid Account
  • Réponse 3 : Impair Defenses
  • Réponse 4 : Remote services

Laïus explicatif : L’achat ou la récupération de comptes valides sont de plus en plus commun. Certains cybercriminels appelés Initial Access Broker se spécialisent dans la compromission de victimes dans le but de récupérer des identifiants valides qui seront ensuite vendus à d’autres cybercriminels comme les groupes de ransomware.

Jour 10 | Parmi ces structures de données de la mémoire dans Windows, quelle est celle qui permet de lister les processus en cours d’exécution ?

  • Réponse 1 : EPROCESS
  • Réponse 2 : Kernel Debugger Data Block (KDBG)
  • Réponse 3 : Kernel Processor Control Region (KPCR)
  • Réponse 4 : Process Environment Block (PEB)

Laïus explicatif : La structure EPROCESS (Executive Process) est utilisée par Windows pour gérer chaque processus en cours d’exécution. Elle contient des informations essentielles comme l’identifiant du processus (PID), l’état, les threads associés, et d’autres données nécessaires au système pour suivre les processus actifs. En analysant les structures EPROCESS, on peut lister les processus actuellement en mémoire. Le PEB est lié à chaque processus de manière individuelle. Enfin le KPCR est nécessaire pour trouver l’adresse du KDB qui à son tour permettra de pointer vers le EPROCESS.  

Jour 9 | Quel est le problème si la suite cryptographique TLS_RSA_WITH_AES_256_CBC_SHA256 est utilisée avec l'extension encrypt_then_mac pour la sécurité d'une communication TLS ?

  • Réponse 1 : L’algorithme de chiffrement est trop faible

  • Réponse 2 : L’intégrité de la communication n’est pas assurée

  • Réponse 3 : Il n’y a pas la propriété de confidentialité persistante (Perfect Forward Secrecy)

  • Réponse 4 : Le serveur n’est pas correctement authentifié

Laïus explicatif : La bonne réponse est le manque de confidentialité persistante.

La suite TLS_RSA_WITH_AES_256_CBC_SHA256 utilise la clé publique RSA du serveur pour chiffrer le secret partagé utilisé pour sécuriser les échanges de la session TLS : en cas de compromission de la clé privée du serveur, l’ensemble des échanges des sessions passées peuvent être déchiffrés par un attaquant.
La confidentialité persistante (connue sous le nom de Perfect Forward Secrecy en anglais) consiste en l’utilisation d’un échange Diffie-Hellman éphémère pour négocier le secret partagé, sans utilisation de la clé RSA du serveur.

Jour 8 | Quel est l'avantage d'utiliser un outil de couverture de code lors d'une session de fuzzing ?

  • Réponse 1 : Réduire le temps de fuzzing en optimisant certaines instructions assembleur.

  • Réponse 2 : Utiliser la technique de « pré-chauffage » du harnais (« warming code attack »).

  • Réponse 3 : Pouvoir analyser facilement les sections de code atteintes par le fuzzer.

  • Réponse 4 : Ne pas prendre en compte les vulnérabilités de type use-after-free.

Laïus explicatif : Les outils de couverture de code (“code coverage” en anglais) permettent de savoir avec précision quelles lignes de code d’un programme qui ont réellement été exécutées. Lors d’une session de “fuzzing”, ces outils peuvent aider l’analyste à savoir si les fonctions ciblées ont été atteintes par le fuzzer. Cette technique a notamment été utilisée par un membre de l’équipe Offsec pour trouver une vulnérabilité dans une bibliothèque open-source (voir notre article de blog)

Jour 7 | Quelle est la principale éthique qui doit être prise en compte dans le développement de l’Intelligence Artificielle ?

  • Réponse 1 : L’équité et la non-discrimination

  • Réponse 2 : La transparence des algorithmes utilisés

  • Réponse 3 : La sécurité et la confidentialité des données

  • Réponse 4 : Toutes les réponses

Laïus explicatif : L’équité et la non-discrimination sont des principes fondamentaux dans le développement de l’IA. Les systèmes d’IA doivent être conçus pour éviter les biais et assurer qu’ils ne favorisent pas des groupes spécifiques au détriment d’autres, afin de garantir un traitement juste et égal pour tous les utilisateurs. La transparence des algorithmes est cruciale. Les utilisateurs doivent comprendre comment les décisions sont prises par l’IA, ce qui inclut la possibilité d’expliquer les résultats ou actions générés par un système d’intelligence artificielle, afin d’éviter des décisions opaques ou injustes. La sécurité et la confidentialité des données sont enfin des préoccupations majeures lorsque l’on développe des systèmes d’IA, car ces technologies peuvent collecter et traiter des informations sensibles, ce qui soulève des questions sur la protection des données personnelles et la vie privée.

Jour 6 | Selon vous, en moyenne combien de ransomware ont eu lieu par jour en 2023 dans le monde ?

  • Réponse 1 : 1 par jour

  • Réponse 2 : 100 par jour

  • Réponse 3 : 30 par jour

  • Réponse 4 : 12 par jour

Laïus explicatif : En moyenne 12 attaques ransomware ont été signalées par jour par des victimes dans le monde en 2023 selon les chiffres d’Almond. Pour plus d’informations, n’hésitez pas à consulter notre Threat Landscape.

Jour 5 | Challenge de stéganographie

Réponse : PASSI RGS, PASSI LPM, CESTI, ANJ, Cybersecurity made in Europe, PCI QSA Company et Swift

Etape 1 : Observer l’image, trouver 3 logos cachés (Cybersecurity made in Europe, PCI QSA Company & Swift) et une indication pour chercher dans les métadonnées du fichier. 

Etape 2 : Challenge de stéganographie

En lançant dans son terminal un des outils les plus courants, « binwalk », on trouve une image JPEG dans le PDF. En extrayant les données grâce au même outil et en renommant le fichier en .jpeg, on voit apparaitre une image cachée. Ensuite, en utilisant « steghide », on peut extraire le fichier avec le mot de passe « Almond ». Ce fichier contient une suite de caractère encodée en base64. En la déchiffrant, on obtient les quatre autres certifications : PASSI RGS, PASSI LPM, CESTI et ANJ. 

Jour 4 | Concernant les accompagnements de la nouvelle qualification PACS de l’ANSSI, sur la portée Sécurité des Architectures, quels sont les domaines qui font partie du périmètre possible d’un accompagnement ?

  • Réponse 1 : la sécurité réseau, l’authentification, et l’administration du SI

  • Réponse 2 : la sécurité réseau, la sécurité système, et les mécanismes de chiffrement

  • Réponse 3 : l’administration du SI, le cloisonnement, les sauvegardes, et la stratégie de détection/réponse

  • Réponse 4 : tous ces sujets et plus encore

  • Laïus explicatif : Le référentiel PACS, sur la portée Sécurité des Architectures, porte bien sur tous les sujets liés de près ou de loin aux infrastructures du SI. La liste n’est pas exhaustive et est à adapter à chaque prestation d’accompagnement suivant le périmètre d’intervention. Dans le référentiel, l’ANSSI propose une liste de sujets à adresser dans un rapport PACS page 28 et 29.

    https://cyber.gouv.fr/sites/default/files/document/PACS_referentiel-exigences_v1.0.pdf

Jour 3 | Quel référentiel permet la certification de produits de sécurité ?

  • Réponse 1 : NIS2

  • Réponse 2 : Critères Communs

  • Réponse 3 : PASSI

  • Réponse 4 : ISO27001

Laïus explicatif : Le schéma Critères Communs est un ensemble de normes et méthodologies permettant de cadrer les moyens utilisés pour évaluer, de manière impartiale, la sécurité d’un produit de sécurité (logiciel ou matériel). Ce schéma est reconnu internationalement au travers de plusieurs accords (SOG-IS, CCRA et prochainement EUCC).

Le référentiel PASSI permet la qualification, par l’ANSSI, des prestataires d’audit de la sécurité des SI. ISO27001 est la norme décrivant les bonnes pratiques à suivre dans la mise en place d’un SMSI. Enfin, NIS2 est une directive visant à harmoniser et à renforcer la cybersécurité du marché européen.

Jour 2 | Quel est l’artefact forensique qui permet de prouver une exécution d’un programme sous Windows ?

  • Réponse 1 : JumpList

  • Réponse 2 : ShimCache

  • Réponse 3 : $MFT

  • Réponse 4 : Prefetch

Laïus explicatif : Le Prefetch est un artefact spécifique à Windows qui optimise le chargement des programmes. Lorsqu’un programme est exécuté pour la première fois, Windows crée un fichier dans le dossier C:\Windows\Prefetch, qui contient des informations sur le programme et les ressources qu’il a utilisées. Ces fichiers incluent également des horodatages correspondant à la première et aux dernières exécutions. L’existence d’un fichier Prefetch (.pf) pour un programme est une preuve solide qu’il a été exécuté. C’est l’un des artefacts forensiques les plus fiables pour prouver l’exécution d’un programme.

Jour 1 | Quel texte européen permettra qu’à partir de fin 2027, tous les produits vendus dans l’UE et comprenant des composants numériques seront exempts de vulnérabilités et maintenus pendant tout leur cycle de vie ? #DigitalTrust

  • Réponse 1 : Le Cyber Security Act
  • Réponse 2 : Le Cyber Resilience Act
  • Réponse 3 : La Directive REC
  • Réponse 4 : La Directive NIS2 

Laïus explicatif : Le Cyber Resilience Act, qui a été publié ces derniers jours au Journal Officiel de l’Union Européenne est entré en vigueur le 10 décembre 2024. A compter de cette date, les fabricants et éditeurs doivent adapter leur processus pour pouvoir continuer à vendre des produits au sein de l’UE après le 10/12/2027.

EU Cyber Resilience Act | Shaping Europe’s digital future