Association des Maires de France : plus de 100 000 enregistrements dérobés, dont des mots de passe en clair

Le 4 septembre 2026, un acteur utilisant le pseudonyme « Alduin » a revendiqué le vol d’une base de l’Association des Maires de France, obtenue selon lui par une injection SQL de type UNION sur le site de l’association. L’AMF a confirmé la réalité de la cyberattaque le jour même auprès de la presse spécialisée, indiqué avoir saisi la CNIL, puis notifié ses adhérents et abonnés le 6 septembre, en précisant qu’un audit était en cours pour délimiter l’ampleur exacte de l’incident.

À première vue, le contenu ne justifierait qu’une sévérité modérée : il s’agit pour l’essentiel d’un annuaire professionnel d’élus et d’agents territoriaux, avec identité, adresse électronique, fonction et collectivité de rattachement. Ce sont des informations dont une part est déjà publique, puisqu’un maire est un élu identifiable et joignable par construction.

Un élément change cette lecture. Selon plusieurs sources concordantes, l’une des tables extraites contenait des mots de passe stockés en clair, une autre des empreintes bcrypt. Le stockage en clair est une faute de conception, et non un aléa d’attaque : elle transforme une fuite d’annuaire en fuite d’identifiants réutilisables. Or les personnes concernées sont des élus et des cadres territoriaux dont l’adresse professionnelle sert souvent d’identifiant sur d’autres services, et dont beaucoup réemploient un mot de passe d’une plateforme à l’autre. Le risque se déplace ainsi de la boîte de réception vers les outils de la collectivité.

Le décompte de 114 000 lignes ne doit pas être converti en 114 000 personnes. L’AMF parle elle-même de « plus de 100 000 enregistrements » répartis sur plusieurs tables, où un même élu peut figurer à la fois comme contact, comme abonné et comme utilisateur du site. Un chiffre de 114 465 personnes circule dans une source isolée, sans être recoupé par les autres : il n’est pas retenu ici, l’association ayant annoncé qu’elle communiquerait le périmètre réel à l’issue de son audit.