Cyberattaques SDIS et collectivités, été 2026 : plusieurs départements, deux niveaux de preuve

L’été 2026 n’a pas seulement visé des ministères. Une série de cyberattaques SDIS (Services départementaux d’incendie et de secours) a touché plusieurs départements, pendant les feux de forêt. Pour une PME qui travaille avec une collectivité — infogérance, badgeuse, formation, maintenance — le sujet n’est pas « les pompiers ». C’est la fuite d’annuaires d’agents et la cartographie des prestataires.

Vague de juillet : cinq SDIS, enquête ouverte (confirmé)

Le 27 juillet 2026, le parquet de Paris a indiqué à l’AFP (franceinfo, La Dépêche) qu’une enquête était ouverte après le piratage des sites internet de cinq SDIS : Aisne, Alpes-de-Haute-Provence, Alpes-Maritimes, Landes, Marne. Points retenus par le parquet :

• pas d’impact annoncé sur le fonctionnement opérationnel des secours ;
• en revanche, extraction de données personnelles stockées sur ces sites ;
• qualification notamment d’accès frauduleux et d’extraction, confiée à l’Office anti-cybercriminalité.

Des volumes (milliers d’identités, Go de fichiers) ont circulé via des revendications de forums, compilées par des sites spécialisés. Ces volumes ne sont pas ceux du parquet. Nous ne les traitons pas comme des chiffres officiels.

Fin août : nouvelle série, preuve inégale

Le week-end du 29 août, un acteur se présentant comme ChimeraZ a revendiqué d’autres SDIS (Somme, Essonne, Bas-Rhin, Bouches-du-Rhône, Gard, Vosges, Moselle — listes variables selon les relais). Le SIS du Bas-Rhin a publié un communiqué le 1er septembre 2026 confirmant un vol de données le 29 août : éléments professionnels (noms, grades, matricules, téléphones, rattachements, sessions de formation). D’autres départements de cette liste n’avaient pas, à notre lecture, le même niveau de confirmation publique au 2 septembre. Nous les laissons donc du côté revendiqué.

Des médias ont additionné « 18 000 pompiers » : ce total vient d’agrégations de revendications, pas d’un bilan ministériel unique. Nous ne le reprenons pas comme un fait.

Leçon pour une PME et pour une collectivité

Un site vitrine de SDIS ou de mairie qui expose un annuaire, un extranet formation ou un espace prestataire est une base RH déguisée. Si vous infogérez une collectivité, votre contrat devrait déjà prévoir : MFA sur les comptes d’administration, journalisation des exports, et un test d’intrusion du CMS / de l’extranet — pas seulement un audit documentaire PSSI.

Même leçon que pour le fisc : ce n’est pas la taille de l’État qui fuit, c’est un accès web trop généreux. Un audit cybersécurité côté prestataire PME sert à montrer à la collectivité que vous n’êtes pas le maillon faible.

Sources

Parquet de Paris / AFP (27 juillet 2026) ; communiqué SIS 67 (1er septembre 2026) ; synthèses franceinfo, La Dépêche, France 3 Grand Est. Les listes et volumes de forums restent étiquetés revendication.