Ransomware contre les administrations : anatomie d\'une menace qui redessine le risque public

Berlin paralysée à quinze jours des élections, des hôpitaux contraints de fonctionner sur papier, des mairies sans accès à leurs propres données. En 2026, les ransomwares ne ciblent plus uniquement les entreprises : ils s'en prennent méthodiquement aux administrations publiques, aux collectivités territoriales, aux hôpitaux et aux infrastructures critiques. Ce n'est pas un hasard. C'est une stratégie délibérée.

Le secteur public : cible par défaut des ransomwares modernes

Pendant longtemps, les groupes de ransomware ciblaient principalement les entreprises privées — là où se trouve l'argent. La logique était simple : une entreprise dont le chiffre d'affaires dépend de ses systèmes paiera. Mais depuis 2024, et de façon marquée en 2026, le ciblage s'est élargi massivement aux entités publiques. Pourquoi ce basculement ?

D'abord parce que le secteur public offre un profil de risque idéal pour les attaquants. Les administrations présentent systématiquement les mêmes caractéristiques structurelles : des systèmes informatiques hétérogènes accumulés sur des décennies, des budgets cyber chroniquement sous-dotés (en France, la dépense cybersécurité des collectivités représente en moyenne moins de 5 % des dépenses IT totales selon les données ANSSI 2025), des cycles de mise à jour extrêmement lents — il est courant d'observer des délais de 6 à 18 mois pour appliquer des correctifs critiques dans des administrations françaises — et une dépendance à des prestataires parfois peu regardants sur la sécurité de leur propre infrastructure.

Ensuite parce que la pression exercée sur les administrations est d'une nature différente de celle exercée sur les entreprises. Une PME qui perd l'accès à ses données peut ralentir ou suspendre son activité commerciale. Une mairie qui perd ses fichiers de gestion civile ne peut plus délivrer d'actes d'état civil. Un hôpital qui perd ses systèmes ne peut plus faire fonctionner ses blocs opératoires ni accéder aux antécédents médicaux de ses patients. Un sénat régional qui se retrouve déconnecté à quinze jours d'élections crée une crise politique en plus d'une crise technique.

C'est précisément cette pression supplémentaire que cherchent à exploiter des groupes comme Rhysida, qui vient de paralyser le Sénat de Berlin à peine cinq semaines avant les élections régionales du 20 septembre 2026. 5,7 téraoctets de données exfiltrées, 12 000 systèmes scannés, des analyses de vulnérabilité de l'alimentation en eau de la capitale allemande dans les mains d'acteurs criminels. Le message est clair : les ransomwares peuvent toucher la démocratie là où ça fait le plus mal.

Les chiffres confirment cette tendance. Selon Black Kite, 2026 devrait enregistrer 7 551 victimes de ransomware toutes catégories confondues, soit une hausse de 24,9 % par rapport à 2025. Cette progression n'est pas uniforme : le secteur public et la santé enregistrent des augmentations disproportionnées. Dans l'enquête de 2026 sur la cybersécurité des collectivités locales en France, plus de 40 % des communes de plus de 50 000 habitants déclaraient avoir subi au moins une tentative d'intrusion significative dans les 12 derniers mois.

L'anatomie d'une attaque réussie contre une administration

Comprendre comment ces attaques réussissent est indispensable pour s'en protéger. Contrairement à une idée reçue, les attaquants ne s'appuient pas toujours sur des techniques sophistiquées ou des zero-days coûteux. Dans la majorité des cas documentés en 2026, l'accès initial repose sur l'un de ces trois vecteurs basiques :

L'exploitation de services exposés non patchés. CVE-2026-9586 dans Sangoma Switchvox (CVSS 9.3, exploitation active depuis le 30 août 2026) illustre parfaitement ce vecteur : une injection SQL dans un serveur VoIP accessible depuis Internet permet d'obtenir un shell sur le serveur, puis de pivoter vers le réseau interne. Les administrations qui gèrent leur propre infrastructure téléphonique avec des cycles de mise à jour lents sont directement exposées. La même logique s'applique aux instances Exchange non patchées (CVE-2026-62911, 22 000 serveurs exposés en début 2026), aux équipements réseau obsolètes, et à toute application exposée sur Internet dont la maintenance n'est pas assurée rigoureusement.

Le phishing avec vol d'identifiants. Les agents publics, souvent moins sensibilisés aux risques cyber que leurs homologues du privé, constituent une cible de choix pour les campagnes de phishing. Une fois les identifiants d'un compte Active Directory en main, l'attaquant peut se déplacer latéralement dans le réseau pendant des jours ou des semaines avant d'activer le chiffrement. Les campagnes de 2026 sont de plus en plus personnalisées grâce à l'utilisation de modèles de langage pour générer des leurres dans la langue locale avec le bon registre administratif.

L'achat d'accès initial. Sur les marchés criminels, des access brokers vendent des accès VPN ou RDP à des systèmes compromis pour quelques centaines de dollars. Les groupes de ransomware achètent ces accès et les utilisent comme point de départ. Cette économie souterraine est parfaitement organisée en 2026 : des forums spécialisés proposent des accès classés par secteur d'activité, taille de l'organisation, et niveau d'accès obtenu (simple utilisateur, admin local, admin domaine).

Une fois l'accès initial obtenu, la chronologie est relativement prévisible et documentée. Les attaquants réalisent une reconnaissance interne (cartographie réseau, identification des serveurs de sauvegarde, des contrôleurs de domaine, des données à forte valeur), puis ils élèvent leurs privilèges via des techniques bien connues (Pass-the-Hash, Kerberoasting, exploitation de GPO), désactivent les outils de sécurité, exfiltrent les données vers des serveurs sous leur contrôle, et enfin déclenchent le chiffrement simultané sur l'ensemble du périmètre compromis.

À Berlin, cette phase de reconnaissance a duré au moins sept jours entre la détection initiale et la déconnexion complète du réseau. Sept jours pendant lesquels Rhysida a pu scanner 12 000 systèmes et exfiltrer 5,7 téraoctets. Ce délai est révélateur d'un problème structurel dans la gestion de crise des entités publiques : l'absence de procédures d'isolement automatique et de capacité de décision rapide. Dans une organisation avec un SOC mature, un comportement aussi anormal aurait déclenché une alerte et un isolement dans les heures qui suivent. Dans beaucoup d'administrations, le processus de décision est plus lent, plus hiérarchisé, et la culture du "on continue à fonctionner" prime parfois sur la réponse à incident.

La valeur réelle des données publiques : un angle mort stratégique

La question "que vaut vraiment une donnée publique volée ?" mérite d'être posée sérieusement. Dans le cas de Berlin, les analyses de vulnérabilité de l'alimentation en eau ont une valeur stratégique considérable — non pas parce qu'elles permettent d'attaquer immédiatement les réseaux d'eau, mais parce qu'elles renseignent un acteur hostile sur les failles existantes d'une infrastructure critique d'une capitale européenne.

Au-delà de ce cas extrême, les données que détiennent les administrations ont plusieurs valeurs distinctes pour les attaquants :

• Valeur d'extorsion directe : menacer de publier des dossiers personnels d'agents publics (données RH, données de paie, évaluations de performance) crée une pression sur les individus et sur l'organisation.
• Valeur de revente : les données d'identité (noms, adresses, numéros de sécurité sociale, données médicales dans les administrations de santé) se revendent sur les marchés criminels entre 10 et 500 dollars le dossier selon leur complétude.
• Valeur stratégique : les accords de non-divulgation (3 226 dans le cas de Berlin) révèlent les relations contractuelles de l'administration, ses prestataires, ses engagements. Ces informations peuvent intéresser des acteurs étatiques concurrents dans une logique de renseignement économique ou politique.
• Valeur de levier politique : frapper une administration juste avant des élections crée un levier politique qui va au-delà de la simple extorsion financière. Cette dimension stratégique des attaques ransomware contre le secteur public est encore trop peu prise en compte dans les analyses de risque.

En France, la situation est similaire. Les collectivités territoriales détiennent des données d'une richesse et d'une sensibilité considérables : données cadastrales et d'urbanisme, dossiers de santé dans les EHPAD publics, informations fiscales locales, données sur les bénéficiaires d'aides sociales, plans des réseaux d'eau et d'assainissement. Une compromission à grande échelle de ces données aurait des conséquences bien au-delà du simple incident technique.

Les coûts réels d'une attaque : bien au-delà de la rançon

Beaucoup d'administrations sous-estiment le coût réel d'une attaque ransomware parce qu'elles raisonnent uniquement en termes de rançon. Berlin a refusé de payer les 30 BTC demandés par Rhysida — mais le coût total de l'incident sera certainement bien supérieur à 2 millions d'euros.

Les coûts réels d'une attaque ransomware contre une entité publique incluent :

• La remédiation technique : reconstruction des systèmes, décontamination des postes, restauration des données, vérification de l'intégrité, tests de non-compromission avant retour en production — souvent plusieurs millions d'euros pour une administration de taille moyenne.
• Le fonctionnement en mode dégradé : des semaines, parfois des mois, pendant lesquels les agents travaillent sur papier ou avec des procédures manuelles, générant des surcoûts opérationnels importants et des retards dans le service aux citoyens.
• Les coûts juridiques et réglementaires : notifications RGPD à la CNIL dans les 72 heures, amendes potentielles, contentieux éventuels des agents dont les données personnelles ont été exposées, frais d'avocats.
• Le coût de l'image et de la confiance : la confiance des citoyens dans les institutions numériques est difficile à restaurer après un incident majeur. Les organisations du secteur public victimes de violations de données subissent une baisse durable de la confiance citoyenne, particulièrement dans les services numériques.

À titre de référence, une commune française de taille intermédiaire victime d'un ransomware avait engagé plus de 3 millions d'euros de coûts totaux de remédiation, incluant les équipements de remplacement, les heures de prestataires spécialisés en réponse à incident, et les surcoûts opérationnels liés au fonctionnement dégradé pendant plusieurs semaines. En 2026, avec des ransomwares plus sophistiqués et des volumes de données exfiltrées plus importants, ces coûts sont structurellement plus élevés.

Ce que font vraiment les administrations qui s'en sortent

Il existe des administrations qui résistent. Pas parce qu'elles sont immunisées — personne ne l'est — mais parce qu'elles ont mis en place des dispositifs qui limitent l'impact d'une compromission. En voici les éléments qui font vraiment la différence dans la réalité opérationnelle.

La segmentation réseau réelle. Pas sur le papier, dans les faits. Trop d'administrations ont une architecture réseau à plat où un poste de travail compromis dans un service administratif peut communiquer directement avec les serveurs de sauvegarde, les contrôleurs de domaine Active Directory, et les applications métier critiques. La segmentation réseau, couplée à des règles de flux strictes et à du micro-périmètre pour les services les plus sensibles, limite considérablement la capacité d'un attaquant à se déplacer latéralement après l'accès initial.

Les sauvegardes hors ligne réellement testées. L'expression "sauvegarde hors ligne" est souvent galvaudée. J'ai rencontré des organisations qui pensaient avoir des sauvegardes hors ligne parce que les bandes de sauvegarde étaient dans une armoire fermée à clé — alors que le gestionnaire de sauvegarde restait accessible depuis le réseau général. Une sauvegarde hors ligne au sens opérationnel, c'est un support physiquement déconnecté du réseau, inaccessible depuis l'infrastructure en production, dont la restauration complète a été testée sur un environnement de recette dans les 90 derniers jours.

La décision de crise pré-formalisée. À Berlin, sept jours se sont écoulés entre la détection et l'isolement complet. Ce délai est catastrophique dans le contexte d'une attaque active. Les organisations qui s'en sortent ont défini à l'avance des seuils d'alerte qui déclenchent automatiquement des procédures d'isolement, sans validation hiérarchique complète. Le RSSI ou le DSI doit avoir le pouvoir de décider l'isolement d'urgence d'un segment réseau à 3h du matin, sans avoir à contacter la direction générale ou les élus pour obtenir une autorisation. Cette délégation de pouvoir en situation de crise doit être formalisée et acceptée avant l'incident.

Les exercices de crise réguliers et honnêtes. Un plan de réponse à incident qui n'a jamais été testé est un plan qui échouera. Les exercices de type tabletop — simulation d'un scénario d'attaque en salle, sans impact sur les systèmes réels — permettent d'identifier les lacunes dans les procédures avant qu'un incident réel ne les révèle. Ces exercices doivent être conduits avec honnêteté : l'objectif n'est pas de valider que tout fonctionne bien, mais de trouver ce qui ne fonctionne pas.

La gestion des accès privilégiés. Dans la majorité des attaques réussies contre des administrations, les attaquants finissent par obtenir des droits d'administrateur de domaine, ce qui leur donne accès à l'ensemble de l'infrastructure. La mise en place d'une gestion des accès privilégiés (PAM), de comptes administrateurs dédiés distincts des comptes utilisateurs courants, et de l'authentification multi-facteurs sur tous les accès distants, est la mesure structurelle la plus efficace pour limiter les dommages post-compromission initiale.

Ce qui va changer dans les 6 prochains mois

Plusieurs tendances vont accentuer la pression sur les administrations publiques d'ici mars 2027 :

NIS2 entre dans sa phase de contrôle. La directive NIS2, transposée en droit français par la loi du 12 décembre 2024, prévoit des obligations renforcées pour les entités essentielles et importantes — catégories qui incluent de nombreuses collectivités et établissements publics. L'ANSSI va progressivement activer ses capacités de contrôle et de sanction. Les collectivités qui n'ont pas encore initié leur mise en conformité NIS2 sont en retard, et ce retard a désormais un coût légal potentiel.

L'IA générative abaisse le coût des attaques. En 2026, des groupes de ransomware ont commencé à utiliser des grands modèles de langage pour personnaliser leurs campagnes de phishing à grande échelle, générer des leurres dans la langue locale avec le bon registre (administratif, institutionnel, technique), et adapter leurs communications de négociation pour maximiser la pression psychologique. Ce qui nécessitait des ressources humaines significatives coûte désormais quelques dollars d'appels API.

Les infrastructures critiques deviennent une cible déclarée. L'attaque de Berlin, avec ses données de vulnérabilité hydraulique, n'est pas un accident isolé. Plusieurs groupes de ransomware — certains avec des connexions étatiques documentées — cherchent à combiner l'extorsion financière avec la collecte de renseignement stratégique. Pour les collectivités qui gèrent des services d'eau, d'assainissement, de transport ou d'énergie, la surface d'attaque et les enjeux sont décuplés.

La chaîne d'approvisionnement numérique des administrations reste un angle mort. Beaucoup de collectivités délèguent tout ou partie de leur informatique à des prestataires régionaux. Une compromission d'un prestataire qui gère simultanément 30 ou 50 mairies crée un incident multi-victimes en cascade. Ce risque de supply chain attack sur le tissu des ESN locaux est structurellement sous-évalué et sera, selon toute probabilité, exploité dans les prochains mois.

Conclusion

L'attaque contre le Sénat de Berlin est un signal fort. Elle confirme que les groupes de ransomware modernes sont capables d'opérations stratégiques complexes, qu'ils ciblent délibérément les moments de vulnérabilité institutionnelle (période électorale, crise sanitaire, réorganisation administrative), et qu'ils ne reculent pas devant la compromission d'infrastructures critiques. Pour les administrations françaises, ce n'est pas un problème lointain. C'est une menace immédiate qui exige des réponses concrètes, pas des déclarations d'intention.

La résilience se construit avant la crise, pas pendant. Cela signifie investir maintenant dans la segmentation réseau, les sauvegardes hors ligne testées, la formation des équipes, et la formalisation des procédures de réponse à incident avec délégation de pouvoir en situation d'urgence. Cela signifie aussi accepter que la cybersécurité des services publics est une question démocratique : protéger les données des citoyens et la continuité des services publics, c'est protéger la confiance dans les institutions.