Le week-end des 7 et 8 novembre 2026, la mairie de Chambourcy, dans les Yvelines, a subi une cyberattaque. Elle a débranché tout son réseau par précaution et ses agents travaillent depuis en grande partie sur papier. On ne sait presque rien de l’attaque elle-même, mais ses effets parlent à toute organisation, mairie ou PME.
Ce qui s’est passé
La commune a confirmé l’attaque dans une communication mise à jour le 8 novembre. Pour contenir l’incident et éviter qu’il ne s’étende, elle a arrêté son réseau informatique. Ses équipes, aidées de sociétés spécialisées et des autorités, travaillent à sécuriser puis à remettre en route les systèmes (InfosYvelines).
Au quotidien, l’accueil reste ouvert aux horaires habituels, le téléphone, le site internet et les réseaux sociaux fonctionnent. Les courriels arrivent, mais les réponses prennent plus de temps, et la plupart des démarches sont traitées à la main, avec des délais allongés. La mairie a déposé plainte et informé la CNIL (Cyberattaque.org).
Elle a aussi prévenu les habitants : surveiller leurs comptes bancaires, changer les mots de passe réutilisés ailleurs, se méfier de tout message qui demanderait un code ou un virement urgent. Ce sont des précautions, pas l’annonce d’un vol de données.
Comment l’attaque a fonctionné
À ce stade, personne ne le dit publiquement. La mairie ne précise ni comment les pirates sont entrés, ni s’il s’agit d’un rançongiciel (un programme qui bloque les fichiers pour réclamer une rançon), ni si des données ont été copiées. Aucun groupe n’a revendiqué l’attaque.
Ce que l’on voit clairement, en revanche, c’est la chaîne des conséquences. Une partie de l’arrêt vient de la décision de la mairie elle-même : couper le réseau est souvent le bon choix pour empêcher l’attaquant d’aller plus loin. Mais ce choix prive aussitôt les agents de leurs logiciels, de leurs fichiers et d’une partie de leur messagerie. L’organisation doit alors continuer à servir le public avec un stylo et un téléphone.
Ce qu’on ne sait pas encore
- La porte d’entrée des pirates (mot de passe volé, accès à distance mal protégé, logiciel non mis à jour…).
- La nature exacte de l’attaque et l’état des sauvegardes.
- Si des données des habitants ou des agents ont été consultées ou volées.
- La date de retour à la normale.
Ce que ça change pour une PME
Une petite mairie et une PME se ressemblent : peu de personnel informatique, beaucoup de données, des prestataires qui se connectent à distance. Le 9 novembre, la CNIL a d’ailleurs sanctionné dix collectivités pour des failles très classiques : accès à distance sans double authentification, prestataires connectés en permanence, journaux de connexion non surveillés (CNIL). Rien n’indique que Chambourcy soit concernée par ces sanctions, mais la liste est un bon point de départ.
- Décidez à froid qui coupe le réseau. Écrivez qui a le droit de prendre cette décision, y compris un samedi soir, et qui il doit appeler juste après (prestataire, assureur, dispositif 17Cyber).
- Préparez votre « mode papier ». Listez les trois ou quatre tâches à continuer coûte que coûte (encaisser, livrer, répondre aux clients) et imprimez ce qu’il faut pour les faire sans ordinateur : formulaires, contacts, numéros utiles.
- Fermez les portes classiques. Double authentification sur les accès à distance et les comptes d’administration, accès des prestataires ouverts seulement quand c’est nécessaire.
- Prévenez vos clients avant les escrocs. Après une attaque, les arnaques qui s’en servent comme prétexte arrivent vite. La fiche « Violation ou fuite de données personnelles, que faire ? » de Cybermalveillance.gouv.fr aide à préparer le message.
Le regard de l’auditeur
Quatre questions à vous poser, ou à poser à votre prestataire. Elles s’inspirent de ce que vérifie un auditeur ISO 27001 :
- Qui, chez nous, a le droit de décider de couper l’informatique, et comment le joint-on un week-end ?
- Avons-nous écrit comment nous continuerions à travailler une semaine sans ordinateur, et l’avons-nous déjà essayé ?
- Qui regarde les alertes et les connexions inhabituelles le soir et le week-end ?
- Avons-nous un message prêt pour prévenir nos clients en cas d’attaque, et savons-nous qui doit avertir la CNIL dans les 72 heures ?
Pour les pros : notre analyse technique (mode opératoire, MITRE ATT& ;CK, questions d’audit ISO 27001).
Dossier : Rançongiciels et gestion de crise
Cet article prolonge notre bulletin de veille du 14 novembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.