Les cyberattaques contre les gouvernements locaux sont en augmentation – et pour cause.
« Ils sont riches en cibles et cyber-pauvres », a expliqué Michael Klein, directeur principal de la préparation et de la réponse à l’Institute for Security and Technology, un groupe de réflexion sur la sécurité à but non lucratif à Oakland, en Californie.
« Les gouvernements locaux détiennent toutes sortes de données recherchées par les criminels – numéros de sécurité sociale, données de santé, données sur les enfants, systèmes de paiement – et souvent celles-ci ne sont défendues que par de petits niveaux de sécurité gouvernementaux », a-t-il déclaré à TechNewsWorld.
Les agences gouvernementales locales comptent généralement plus de personnes portant plusieurs chapeaux pour diverses raisons, notamment des contraintes budgétaires et de personnel, a noté Ashley Knowles, consultante principale en cybersécurité chez Black Hills Information Security, une société de tests d’intrusion, d’équipe rouge et de chasse aux menaces à Spearfish, SD.
« Il peut donc être plus difficile de corriger les systèmes contre les problèmes de sécurité, de garder une longueur d’avance sur les tendances actuelles en matière de cybersécurité et d’assurer la continuité des activités si les systèmes étaient affectés par une attaque », a-t-elle déclaré à TechNewsWorld.
« Les agences gouvernementales locales seront toujours une cible d’attaques en raison de leur capacité à toucher un grand nombre de personnes », a-t-elle ajouté. « Plus le nombre de personnes touchées par une attaque est élevé, plus les gains peuvent être importants s’il s’agit d’une attaque de ransomware. »
Pris ensemble, ces facteurs font des gouvernements locaux des cibles particulièrement attractives pour les cybercriminels.
Les ransomwares deviennent une affaire de volume
Un récent rapport de Comparitech révèle que les ransomwares constituent un problème mondial pour les gouvernements, avec au moins une attaque contre une entité gouvernementale chaque jour au cours du premier semestre de cette année. Il ajoute que les attaques mondiales ont augmenté de 13 % au cours de cette période par rapport au second semestre 2025 et que près d’un tiers (31 %) des attaques du premier semestre 2026 ont eu lieu aux États-Unis.
« Les chiffres de Comparitech montrent que la demande médiane adressée aux entités gouvernementales est tombée à 100 000 dollars au premier semestre de cette année, soit un cinquième de ce qu’elle était six mois plus tôt », a souligné Bob Maley, responsable de la sécurité chez Black Kite, une société de gestion et d’évaluation des cyber-risques à Boston.
« J’ai lu cela en tant qu’attaquants qui évaluent ce qu’une petite municipalité peut réellement proposer », a-t-il déclaré à TechNewsWorld. « Ils ont compris le segment et le gèrent comme une entreprise de volume. »
Il a rappelé les défis liés à la mise en place d’un programme de cybersécurité lorsqu’il était RSSI de Pennsylvanie. « Le Commonwealth a mené une consolidation majeure appelée Opération Secure Enterprise », a-t-il expliqué. « Chaque agence disposait de ses propres correctifs et contrôles, et le bureau du gouverneur souhaitait les regrouper sous un même toit. »
« Vous auriez pu ordonner aux agences de se conformer, et elles auraient trouvé cent façons de ralentir les choses », a-t-il déclaré. « Au lieu de cela, l’administration a créé le financement nécessaire pour financer la consolidation et la gérer de manière centralisée, et je n’aurais pas pu faire ce que j’ai fait sans cela. »
« Presque aucune ville ou comté n’obtient ce genre d’accord », a-t-il noté. « Le mandat arrive sans source de financement claire, ce qui laisse donc les attentes sur le personnel informatique déjà existant, généralement une personne, et elle est déjà recrutée chaque semaine par des entreprises offrant le double de son salaire. »
« Elle répare ce qu’elle peut atteindre et maintient le reste ensemble sur une aile et une prière, des pansements et du chewing-gum », a-t-il ajouté.
« Le conseil municipal s’en soucie généralement », a-t-il poursuivi, « mais les nids-de-poule ont tout simplement un meilleur avantage dans une lutte budgétaire. Ils sont photographiés. On se plaint d’eux lors des réunions publiques – et le vendredi, quelqu’un se tient à côté de l’asphalte frais et s’en attribue le mérite, tandis que la faille de sécurité reste invisible jusqu’au jour où elle vide le fonds général. »
Le modèle de cybersécurité à l’échelle de l’Alabama
L’Alabama est un État dans lequel les villes et les comtés concluent un accord sur la cybersécurité. Il a créé l’Alabama Cybersecurity Intelligence Center, une initiative conjointe de l’Alabama Office of Information Technology (AOIT) et du McCrary Institute for Cyber and Infrastructure Security de l’Université d’Auburn. Le centre propose une cyberhygiène de base, une authentification multifacteur, des tests d’intrusion, une planification de réponse aux incidents et une surveillance 24 heures sur 24 de chaque appareil sur un réseau municipal.
Les éléments fondamentaux du programme, connus sous le nom de McCrary Secure, peuvent être rapidement déployés et sont rendus possibles grâce au programme de subventions d’État et local pour la cybersécurité (SLCGP), un investissement fédéral de 19 millions de dollars sur cinq ans dans le cadre de la loi sur l’investissement dans les infrastructures et l’emploi de l’administration Biden.
Nick Sellers, directeur de l’exploitation de McCrary, a expliqué que pour les communautés participantes, les services de base de McCrary Secure sont gratuits – c’est à cela que sert le financement du SLCGP. « Les tests d’intrusion, à eux seuls, pour vérifier le degré de sécurité de leurs systèmes actuels représentent généralement un engagement à cinq chiffres sur le marché libre et sont hors de portée pour la plupart des petites municipalités », a-t-il déclaré à TechNewsWorld.
« En Alabama, l’atelier informatique municipal moyen compte 2,2 personnes », a-t-il noté. « Il ne s’agit pas d’une équipe de sécurité. Ce sont des personnes qui doivent également s’assurer que l’ordinateur de tout le monde fonctionne, qu’il est connecté à l’imprimante et que leur site Web est mis à jour avec les dernières informations. »
« Là où le coût entre en jeu, c’est la réparation », a-t-il poursuivi. « Si une évaluation révèle un pare-feu non pris en charge ou un serveur en fin de vie, quelqu’un doit le remplacer. Une partie de ces problèmes peut être résolue grâce à la subvention. Une partie est financée par le budget local. »
« Notre approche consiste à classer les résultats par risque afin qu’une ville disposant de 20 000 dollars sache quelles sont les trois choses à corriger en premier, plutôt que de lui remettre un rapport de 200 pages sur lequel elle ne peut pas agir », a-t-il ajouté.
« La chose la plus précieuse que nous fassions sur le plan financier est peut-être la traduction », a-t-il déclaré. « Lorsque nous soumettons les maires et les membres du conseil à un exercice de simulation, ils constatent par eux-mêmes l’exposition – et le directeur informatique qui demande du financement depuis trois ans obtient finalement un oui. »
Il a souligné que les exercices théoriques sont efficaces car ils touchent les décideurs plutôt que les techniciens.
« Une table guide les dirigeants de la ville et du comté à travers un scénario réaliste du pire avant qu’il ne se produise : le système d’eau est hors ligne, la facturation est en baisse, un journaliste appelle et la personne qui connaît le réseau est en vacances », a-t-il expliqué. « Travailler sur cela dans une salle de conférence fait apparaître des lacunes qui n’apparaissent dans aucune analyse technique : qui déclare un incident, qui parle au public, qui a le pouvoir d’autoriser des dépenses d’urgence à 23 heures. »
« Nous avons récemment eu des séances au cours desquelles des membres du conseil se sont retirés en disant qu’ils comprenaient enfin pourquoi leur personnel informatique demandait de l’argent et qu’ils s’engageaient à le financer », a-t-il déclaré. « Un rapport de vulnérabilité fait rarement cela. Quatre-vingt-dix minutes passées assis dans le pire jour de votre ville le font. »
Pourquoi d’autres États devraient suivre
Ce que fait l’Alabama est correct, a observé Shane Barney, responsable de la sécurité de l’information chez Keeper Security, une société de gestion de mots de passe et de stockage en ligne à Chicago.
« Prenez les capacités qu’aucune municipalité ne peut se permettre de construire et de les fournir de manière centralisée », a-t-il déclaré à TechNewsWorld. « L’application MFA (Multi-factor Authentication), la surveillance continue et les tests d’intrusion ne constituent pas une sécurité avancée. Ils constituent la référence. Le problème est que la plupart des gouvernements locaux ne peuvent pas atteindre la référence à eux seuls. Les programmes à l’échelle de l’État sont l’un des rares mécanismes capables de combler cet écart à grande échelle. «
Matthew Hartman, directeur de la stratégie chez Merlin Group, un réseau de filiales basé à Tysons Corner, en Virginie, qui investit, active et développe des entreprises de cybertechnologie, a convenu que les programmes de cybersécurité à l’échelle de l’État fournissant des services partagés, une surveillance continue et une réponse aux incidents sont parmi les moyens les plus efficaces d’élever le niveau de sécurité pour les petites juridictions qui ne peuvent pas construire ces capacités par elles-mêmes.
« La cybersécurité doit être traitée comme une responsabilité partagée, et non comme quelque chose que chaque municipalité est censée construire à partir de zéro », a-t-il déclaré à TechNewsWorld.
Sachin Jade, CPO de Cyware, un fournisseur d’une plateforme de renseignement sur les menaces basée sur l’IA à Jersey City, dans le New Jersey, a soutenu que l’initiative de l’Alabama pourrait être un modèle pour d’autres États.
« En établissant un modèle de défense collective à l’échelle de l’État avec un partage automatisé de renseignements sur les menaces, les États uniformisent les règles du jeu pour les petites municipalités qui manquent de budgets de cybersécurité d’entreprise en identifiant et en diffusant des informations critiques sur les menaces en temps opportun pour permettre aux municipalités d’agir », a-t-il déclaré à TechNewsWorld.
« C’est exactement le bon modèle », a reconnu Waseem Ahmed, responsable de l’ingénierie chez Secure.com, un fournisseur d’agents de sécurité IA à Dubaï, aux Émirats arabes unis. « Les petites villes ne peuvent pas se permettre individuellement un SOC (Security Operations Center), un testeur d’intrusion ou une surveillance 24 heures sur 24, mais un programme au niveau de l’État peut fournir tout cela à un coût partagé », a-t-il déclaré à TechNewsWorld.
« Déploiement MFA, surveillance des appareils, planification de la réponse aux incidents : tels sont les contrôles qui auraient permis d’éviter la plupart des violations des données de Comparitech », a-t-il déclaré. « Davantage d’États doivent suivre l’exemple de l’Alabama. L’alternative est d’attendre que le prochain comté paie une rançon. »
Les programmes à l’échelle de l’État ont besoin d’un soutien soutenu
Ces types de programmes deviennent de plus en plus populaires à travers le pays, en particulier dans les États où les petites agences rurales, telles que les pompiers et la police, ou les petites entités gouvernementales comme les districts des eaux, ne disposent peut-être même pas de leur propre personnel informatique, sans parler d’une équipe de professionnels de la sécurité formés et expérimentés dans la lutte contre les cyber-attaquants, a ajouté Nathan Wenzler, RSSI sur le terrain chez Optiv, un fournisseur de solutions de cybersécurité dont le siège est à Denver.
« Conceptuellement, ces programmes sont fantastiques et peuvent aider à fournir des ressources partagées que ces organisations n’auraient pas autrement », a-t-il déclaré à TechNewsWorld, « mais ces programmes présentent également des défis. Comme tout autre groupe, ils sont souvent sous-financés et en sous-effectif, et à mesure que la demande au sein de ces petites entités augmente, la capacité de ces consortiums à surveiller et à réagir efficacement et rapidement est affectée. «
Il a également souligné qu’il peut y avoir un risque accru pour toutes les agences impliquées, car elles doivent accorder au programme central l’accès à leurs systèmes, données et applications internes afin que ce groupe puisse effectuer la surveillance et l’administration proposées. « Cela signifie que des centres comme celui-ci deviennent une cible plus attrayante pour les acteurs criminels, car une compromission du centre signifie que toutes les entités connectées peuvent également être compromises », a-t-il déclaré.
« C’est pour cette raison que ces modèles de services centralisés et partagés doivent être mieux financés et soutenus aux niveaux étatique et fédéral pour garantir qu’une cyberhygiène adéquate et des contrôles de sécurité stricts sont en place et qu’ils protègent correctement toutes les agences connectées utilisant ces services », a-t-il ajouté.
Risque du fournisseur
Maley de Black Kite a averti que la couche qui échappe à la couverture du gouvernement local est la couche des fournisseurs. « Les comtés ne gèrent pas leurs propres plateformes de facturation des services publics, systèmes de dossiers judiciaires ou portails de paiement », a-t-il expliqué, « une poignée de fournisseurs le font, et chacun de ces fournisseurs dessert des centaines de juridictions ».
« Nos recherches ont révélé qu’une seule violation par un tiers produit en moyenne 5,28 organisations victimes en aval », a-t-il poursuivi, « donc lorsqu’une petite ville apparaît dans un titre de violation, la question la plus utile est de savoir quel fournisseur est derrière elle et à qui d’autre ce fournisseur sert. »
La gouvernance est également importante lorsqu’il s’agit de traiter avec le gouvernement local. La technologie est importante, mais sans un leadership qui s’approprie, rien de tout cela n’est fait de manière cohérente, a soutenu Denis Calderone, directeur et directeur technique de Suzu Labs, fournisseur de services de cybersécurité basés sur l’IA à Las Vegas.
« Ce dont les petits gouvernements ont besoin, c’est de quelqu’un au sommet qui inculque un état d’esprit de résilience, l’hypothèse honnête que vous serez touché et un plan pour récupérer rapidement sans payer », a-t-il déclaré à TechNewsWorld. Cet état d’esprit doit être opérationnalisé, et pas seulement énoncé.
Mieux vaut assurer le leadership et la responsabilité, et les contrôles techniques suivront, a-t-il affirmé. Ignorez cela et vous achetez simplement des outils dont personne n’est responsable de la maintenance.
Bill Cameron, directeur des services gouvernementaux chez NCC Group, un cabinet de conseil mondial en cybersécurité, a soutenu que les gouvernements locaux devraient considérer la cyber-résilience comme une priorité opérationnelle plutôt que comme un simple problème informatique. « Les cyberincidents peuvent perturber les services essentiels, affecter directement les résidents et éroder la confiance du public », a-t-il déclaré à TechNewsWorld.
« En fin de compte, le message le plus important adressé aux dirigeants des gouvernements locaux est que la préparation est importante », a-t-il conseillé. « La question est rarement de savoir si une agence sera confrontée à un cyber-incident, mais quand. La capacité à réagir rapidement, à maintenir les services critiques et à se rétablir efficacement est ce qui détermine la résilience à long terme.
