Le dispositif national Cybermalveillance.gouv.fr dévoile de nouveaux résultats à travers cette troisième étude menée sur les collectivités de moins de 25 000 habitants. Les communes de moins de 300 habitants représentent 38 % de cet échantillon. Par conséquent, dans la majorité de ces petites communes, la responsabilité informatique relève directement du maire et de son secrétariat. 

Concrètement, les collectivités restent des cibles majeures pour les cybercriminels et ce peu importe leur taille. Cependant, la prise de conscience peine à se faire, notamment pour les plus petites communes et des freins à la mise en place d’un système de sécurité subsistent. 

Une collectivité sur dix a été victime d’une cyberattaque en 2024

Comme en 2023, une collectivité sur 10 déclare avoir déjà été victime d’une ou plusieurs attaques au cours des 12 derniers mois. « L’hameçonnage reste la cause principale dans 30 % des cas, relèvent les auteurs de l’étude. Arrivent en deuxième place le téléchargement d’un virus ainsi que la consultation d’un site infecté, tous deux à 12 %. » Enfin, la faille de sécurité non corrigée est la troisième cause des cyberattaques (10 %, soit + 5 points par rapport à 2023). 

De plus, les conséquences de ces attaques sont préjudiciables pour les collectivités car elles peuvent aller « jusqu’à une interruption d’activité et de service (37 %), mais également entraîner la destruction des données (24 %) ou une perte financière (10 %) ».

Autre chiffre important relevé par l’étude : 45 % des collectivités attaquées ne connaissent pas la cause. Autrement dit, il apparaît encore complexe pour les collectivités d’appréhender le sujet. 

Un écart qui se creuse entre grandes et petites collectivités 

Parmi les grands enseignements de cette nouvelle enquête, Jérôme Notin, directeur général de Cybermalveillance.gouv.fr, souligne que « l’écart se creuse entre les plus petites collectivités qui pensent toujours qu’elles ne peuvent pas être des victimes potentielles et celles de plus de 1 000 habitants qui intensifient leurs efforts ». 

Si l’année dernière, Cybermalveillance.gouv.fr relevait des efforts effectués sur la sensibilisation des collectivités à ces sujets cyber, aujourd’hui le constat est inquiétant puisque 44 % des collectivités s’estiment faiblement exposées aux risques et 18 % ne savent pas l’évaluer. Par ailleurs, et c’est là où l’écart se creuse, une collectivité sur deux de moins de 300 habitants pense ne pas pouvoir être une victime potentielle pour les cybercriminels, et ce, à tort (lire article Maires de France). 

En termes de protection, les réponses des collectivités démontrent cependant que 53 % des collectivités déclarent bénéficier d’un bon niveau de protection. Cependant, les collectivités ne sont en moyenne que « 14 % à se sentir bien préparées, principalement les collectivités de plus de 5 000 habitants (24 %) ». « Et parmi celles qui considèrent être bien préparées, 78 % ne disposent pas ou ne savent pas si elles disposent d’une procédure de réaction en cas d’attaque. »

Alors pourquoi cette variable peine à être prise en compte par les collectivités ? D’abord, toutes les collectivités ne peuvent pas consacrer le même budget pour l’informatique et la sécurité des systèmes. « 73 % des petites et moyennes collectivités ont un budget informatique annuel de moins de 5 000 euros et 66 % n’envisagent pas d’évolution à la hausse pour l’année à venir ». Enfin, de nombreuses collectivités évoquent aussi leur manque de connaissances sur le sujet (47 %) et de compétences (36 %). 

Cybermalveillance.gouv.fr propose aux élus locaux plusieurs outils pour instaurer une politique de cybersécurité globale au sein de leur collectivité. Retrouvez notre interview sur le sujet ci-dessous :