Fuite de données AMF : les maires ont perdu leurs mots de passe en clair, et l’AMF n’est pas un ministère.

Sommaire

• Fuite de données AMF : une association, pas un ministère
  • Des mots de passe en clair, en 2026
  • Regarde la liste, l’ami
  • Le chiffre du voleur, huitième du nom
  • Fuite de données AMF : ce que l’association fait bien, et ce qu’elle ne fait pas
• Notes de bas de page :
  • Soutenez un média libre
  • Partager :

Rendez à César ce qui est à César, et à Dieu ce qui est à Dieu. Voilà, c’est dit, et tu vas comprendre tout de suite pourquoi j’ai inscrit cette phrase. Depuis plusieurs semaines, si ce n’est des mois, je te propose le feuilleton de l’été 2026. Intitulé « L’État français se fait voler ses données ». Il t’explique comment celles-ci sont « barbottées« . Tout cela de manière facile. Un mot de passe en clair. Des accès qui ne sont pas bordés. Comme des identifiants qui finissent au fond d’un fichier. Bref, comme on m’a dit, « c’est la cool attitude ». Ajoute un joint et le logo de Peace and Love, et tu as le tableau idyllique du parfait je-m’en-foutisme. Tout du moins, cela donne l’illusion.

Maintenant, je vais être franc avec toi. Bien beau de montrer du doigt l’État et ses services. Et dire « ils ne sont pas bons ». Peut-être vrai. Peut-être faux. En tout cas, si on se déplace d’un pas sur la droite ou la gauche, ce n’est pas plus brillant. Pire même, si on enlève de son champ de vision les services de l’État. Car à côté, ce n’est pas mieux.

Vendredi 04 septembre 2026, justement, c’était l’Association des maires de France. Cent quatorze mille lignes dans la nature. Des maires, des élus, des directeurs généraux des services, des responsables des ressources humaines. Avec, dans une table, des mots de passe lisibles à l’œil nu. Et l’AMF n’est pas un ministère. Ce n’est pas une administration. C’est une association. Cela change un peu, tu va me dire. Oui, un peu .

Fuite de données AMF : une association, pas un ministère

Commençons par le plus simple. L’Association des maires de France est une association. Elle représente les communes et les intercommunalités, elle les conseille, elle les forme, elle organise leur congrès annuel. En clair, elle ne lève pas l’impôt. Elle ne gère non plus aucun fichier d’État. Non, rien de tout cela. Elle gère juste les coordonnées de ceux qui font tourner ton village. Et c’est là justement que cela devient intéressant pour le voleur.

Vient le 4 septembre. Un pirate qui se fait appeler Alduin publie sur un forum une annonce sobre : « [FR] amf.asso.fr – 114K ». Suit une base de données. Dedans, il y a quoi ? Tu as sûrement deviné. D’après les deux observatoires qui l’ont ouverte, on trouve ceci : noms, prénoms, adresses e-mail, commune ou intercommunalité de rattachement, fonction occupée, type d’abonnement, identifiants internes. Bref, un joli paquet d’informations. Vérifiées. Validées. Du premier choix.

Ensuite, les personnes visées. Des maires. Egalement des élus. Des directeurs généraux des services. Des responsables RH. Comme des agents territoriaux. Des conseils municipaux entiers. Autrement dit, l’annuaire de ceux qui signent les marchés publics de 35 000 communes. De fait, c’est du lourd. Un carnet d’adresses en or pour le premier venu qui voudrait se faire passer pour le trésorier d’une préfecture. Clubic évoque environ 34 000 adhérents à l’AMF, chiffre que je n’ai vu que là et que je te donne donc avec des pincettes. Bref. Aucun serveur de l’État là-dedans. Aucun agent de Bercy. Aucune faute d’un ministère. Pourtant, yop la boum, par ici la base de données pour le voleur.

Maintenant, une précision de date. Moins drôle, mais capitale, parce qu’elle va être écrasée partout d’ici lundi. Le 4 septembre, c’est le jour où le voleur a parlé. Pas le jour du vol. La revendication tombe dans la matinée, un premier observatoire publie à 11h08, l’AMF confirme dans l’après-midi. Or la date de l’intrusion, elle, reste inconnue. Les deux observatoires listent noir sur blanc, parmi ce qui reste à déterminer, la date exacte de l’intrusion et celle de l’extraction des bases. Soit, entre le moment où les données sont parties et celui où tu l’apprends, une semaine ou six mois. Personne ne le sait. L’AMF pas davantage, puisqu’elle annonce justement délimiter l’étendue de la fuite.

Des mots de passe en clair, en 2026

Passons maintenant à la partie qui pique. Le truc qui fait peur. Dans la base diffusée, il y a deux tables de mots de passe. La première contient des empreintes bcrypt¹. Là, concrètement, c’est le travail bien fait : même avec le fichier sous les yeux, retrouver le mot de passe d’origine coûte cher et prend du temps. En revanche, la seconde table associe directement des adresses e-mail à des mots de passe lisibles à l’œil nu. Lisibles. En 2026. Dans une base qui contient des élus de la République. Il y a des claques qui se perdent là. Non ? Je te laisse deux secondes pour respirer. Avant de prendre ta décision. Gifle ou pas gifle ?

Reste que je dois être honnête avec toi sur un point, parce que c’est là que beaucoup de reprises vont déraper. Le pirate affirme avoir exploité une injection SQL de type UNION² sur le site de l’AMF. C’est sa version. FrenchBreaches précise noir sur blanc que « l’existence exacte de cette vulnérabilité et les circonstances techniques de son exploitation n’ont pas été confirmées publiquement par l’AMF ». Du coup, non, je n’écrirai pas que l’AMF a été percée par une injection SQL. J’écrirai que le voleur le prétend et que personne ne l’a vérifié. Nuance ? Oui. Mais c’est exactement la nuance que tout le monde va sauter d’ici lundi. Mais le pire est à venir. Pour la rédaction de cet article, j’ai parcouru le site de l’AMF. Et ? Rien, aucune information concernant ce vol de données, en direction des élu(e)s. Rien. Nada. Même dans les communiqués et dossiers de presse.

Regarde la liste, l’ami

Maintenant, que vaut le web français ? Tout du moins la sécurité des données, dans son ensemble. Pour être franc, je dirais que c’est une catastrophe. En voici la preuve. J’ai ouvert l’index d’un des deux observatoires qui suivent les fuites françaises au jour le jour, et j’ai relevé ses vingt dernières alertes, du 2 au 5 septembre. Quatre jours. Vingt entités. Qui ont vu leurs données être volées. Je te fais le décompte.

Combien d’administrations, à ton avis ? Quatre. La CMA Occitanie, Tisséo, la Ville de Libercourt. Et encore, deux d’entre elles sont des établissements para-publics. Et tout le reste ? Répar’stores. Accent Rouge. Storia Mundi. Préférence Formations. La Clinique de Vontes. Réso. ZeroGaspi. ColisExpat. Delicity. BCTI. Charbonneaux-Brabant. Shipup. Micromania. La Boutique du Volet. Le Stade Montois Omnisports. Et l’AMF.

Bref, un magasin de jeux vidéo. Un vendeur de volets roulants. Un club de sport landais. Une clinique. Un réparateur de rideaux métalliques. Quatre jours. Résultat, seize entités qui ne sont pas l’État. Alors on peut continuer à jouer au jeu du « regardez ces incapables de fonctionnaires ». C’est confortable, ça ne coûte rien, et de plus ça permet de ne jamais se demander où sont stockés ses propres identifiants clients. Toutefois, les chiffres racontent une autre histoire. Le web français fuit. Pas l’administration française. Le web français. La France a mal à son web. Et ton dentiste, ton club de foot et ton site de bricolage sont dedans.

Le chiffre du voleur, huitième du nom

Intéressons-nous maintenant aux chiffres. Car il en faut pour comprendre l’ampleur de ces vols de données. D’abord, celui qui va circuler dans la presse. Il y a de fortes chances que tu lises celui de 114 000. Sauf que ce nombre est le titre de l’annonce du pirate. Pas un décompte de victimes. Pas une déclaration de l’AMF. Faut faire le distingo. Les deux observatoires le disent d’ailleurs eux-mêmes, et ça mérite d’être souligné. Cyberattaque.org écrit que « le chiffre de 114 000 annoncé avec la publication doit être interprété avec prudence », parce qu’une même personne peut apparaître plusieurs fois dans une base. Voilà, c’est dit. FrenchBreaches, de son côté, précise qu’il s’agit d’enregistrements de base de données et non de victimes uniques, et retient « plus de 100 000 entrées ». Ainsi va le fil : le voleur compte des lignes, la presse comprend des personnes, et personne ne corrige.

C’est la huitième fois cet été que je note ce glissement exact. La DGFiP, l’Éducation nationale, Zéro Logement Vacant, le ministère de la Transition écologique : à chaque dossier, le seul acteur qui prend la peine d’expliquer sa statistique, c’est celui qui a volé les données. Il y a de quoi rire. Ou pas. De l’autre côté, c’est un imperturbable silence radio. À croire que les Français ne savent pas comprendre ce qu’est un vol de données.

Si tu es abonné au Patreon de Mychromebook, retrouve un fichier audio en complément de cet article.

Fuite de données AMF : ce que l’association fait bien, et ce qu’elle ne fait pas

Terminons enfin par le plus instructif. Et reconnaissons d’abord ce qui doit l’être. L’AMF a confirmé la cyberattaque. Elle a annoncé délimiter l’étendue de la fuite. Egalement saisi la CNIL. Elle indique enfin que les personnes concernées seront contactées à l’issue de son audit. En vingt-quatre heures, c’est plus que ce que beaucoup ont lâché en trois semaines. Ou plus.  Alors pose-toi la seule question qui vaille : à qui l’a-t-elle dit ? Réponse à la presse spécialisée. C’est là, et uniquement là, qu’on trouve sa confirmation et sa saisine. Pas chez elle, tu viens de le constater avec moi.

Là, ça devient savoureux. Puisque son site ne dit rien, j’ai lancé une recherche restreinte au seul domaine amf.asso.fr, sur les mots « cyberattaque », « fuite de données » et « communiqué ». Résultat, zéro ligne sur leur propre affaire, ce qui confirme ta lecture et la mienne. En revanche, ce qui remonte vaut son pesant de cacahuètes. Un guide cyber. Une étude sur la maturité des collectivités en matière de cybersécurité. Une plaquette de l’ANSSI pour sécuriser les scrutins. Et surtout, une formation en ligne, présentée comme inédite, pour préparer les élus et leurs agents aux crises cyber.

Relis bien la dernière. Car l’organisme qui forme les maires de France à gérer une crise cyber traverse la sienne. Et il ne l’a pas mise à son propre ordre du jour. Une précision d’honnêteté quand même. Un moteur de recherche ne balaie pas un site page par page, et leur serveur refuse la lecture automatisée. Reste qu’un message dort peut-être dans un espace réservé aux adhérents. Possible. Mais s’il faut se connecter pour apprendre que son mot de passe a fuité, la démarche a un côté cocasse.

Le trou, lui, est béant. Aucun chiffre. Rien non plus sur le vecteur. Et surtout rien sur cette table de mots de passe lisibles, qui est pourtant l’élément le plus grave du dossier. Or confirmer, c’est bien. Chiffrer, ce serait mieux. Expliquer comment on en arrive là en 2026, ce serait franchement courageux. Compare, l’ami, tu vas voir. Géofoncier, plus de quatre millions d’actes fonciers revendiqués : troisième jour de silence, page d’accueil vierge. Le ministère de la Transition écologique : quatrième jour, une attaque reconnue du bout des lèvres, aucun chiffre officiel.

Au fond, tout le monde fait pareil. L’État, l’ordre professionnel, l’association. On confirme à ceux qui savaient déjà, et on ne dit rien à ceux qui sont concernés. Ce n’est pas une question de statut juridique. C’est une habitude. En attendant, si tu es élu, agent territorial ou simple adhérent, fais ceci : change ce mot de passe. Et surtout, change-le partout où tu l’as réutilisé. Car le problème d’un mot de passe en clair, ce n’est jamais le site d’origine. C’est les douze autres où tu as mis le même.

Notes de bas de page :

1. bcrypt est une fonction de hachage conçue pour stocker des mots de passe. Elle transforme le mot de passe en une empreinte volontairement lente à calculer, ce qui rend les tentatives de retrouver l’original par essais successifs très coûteuses. C’est aujourd’hui le minimum syndical. ↩︎
2. Une injection SQL consiste à glisser des instructions de base de données dans un champ de saisie mal filtré, par exemple un formulaire de recherche. La variante dite UNION permet de coller les résultats d’une requête que l’attaquant a écrite lui-même à ceux de la requête légitime, et donc de faire ressortir le contenu d’autres tables. C’est une famille d’attaques documentée depuis la fin des années 1990. ↩︎