Nous vous révélons en exclusivité que l’Association des maires de France et des présidents d’intercommunalité (AMF) est visée par une importante fuite de données publiée ce 4 septembre 2026. Le hacker Alduin affirme avoir exploité une injection SQL sur le site amf.asso.fr avant d’extraire plusieurs tables qu’il jugeait intéressantes.
La publication est annoncée sous le chiffre de 114 000 entrées et touche principalement la sphère publique et territoriale française. Maires, élus, directeurs généraux des services, agents RH, juristes, responsables administratifs ou chargés de mission apparaissent dans les données. Plus préoccupant encore : une des tables contient des identifiants associés à des mots de passe enregistrés en clair.
L’AMF, au cœur du réseau des collectivités françaises
Créée en 1907 et reconnue d’utilité publique en 1933, l’AMF représente les maires et présidents d’intercommunalité auprès des pouvoirs publics. L’association revendique aujourd’hui plus de 34 000 adhérents et s’appuie sur un réseau de 102 associations départementales.
Les données récupérées dépassent d’ailleurs les seuls maires adhérents : elles font apparaître de nombreux profils appartenant à des communes, intercommunalités, syndicats publics, services de l’État, établissements publics, mais également quelques entreprises, médias et autres organisations.
Une injection SQL revendiquée comme point d’entrée
Alduin affirme avoir découvert une injection SQL de type UNION sur le site de l’AMF. Ce type de vulnérabilité peut permettre à un attaquant de manipuler certaines requêtes envoyées à une base de données et, selon les droits de l’application, d’accéder à des informations provenant d’autres tables.
Le hacker affirme avoir utilisé cette faiblesse pour sélectionner et extraire plusieurs tables de la base. L’existence exacte de la vulnérabilité et son origine technique n’ont pas encore été confirmées publiquement par l’AMF.
Maires, DGS, RH et agents territoriaux dans les fichiers
Cyberattaque.org s’est procuré les fichiers diffusés et les a analysés. Le fichier consacré aux abonnés contient un ensemble particulièrement détaillé de profils professionnels. Les informations observées comprennent notamment :
- noms et prénoms ;
- adresses e-mail professionnelles ou personnelles ;
- fonction occupée ;
- commune, intercommunalité ou autre structure de rattachement ;
- type d’abonné et identifiants internes ;
- dates de début et de fin d’abonnement lorsqu’elles sont renseignées ;
- différentes informations de suivi associées au profil.
La diversité des fonctions est importante. Nous avons observé des profils renseignés comme maires, adjoints, conseillers municipaux, DGS, responsables RH, gestionnaires de paie, juristes, responsables administratifs, chargés de mission, responsables comptables ou agents territoriaux.
Des adresses appartenant à des services de l’État et à différents organismes publics apparaissent également. Leur présence dans la base de l’AMF ne signifie évidemment pas que les systèmes informatiques de ces administrations ont été compromis : leurs coordonnées sont exposées parce qu’elles étaient enregistrées dans l’environnement de l’association.
Une cartographie particulièrement précise de la sphère publique locale
La valeur de cette base ne réside pas uniquement dans le nombre d’adresses e-mail. Les champs permettent d’associer une personne à sa fonction exacte et à sa collectivité. Il devient ainsi possible d’identifier rapidement qui travaille aux ressources humaines, à la direction générale, aux finances, à l’urbanisme ou directement au cabinet d’un maire.
Cette connaissance de l’organisation interne des collectivités peut être particulièrement utile pour préparer des attaques d’ingénierie sociale. Un message frauduleux peut par exemple être adapté au poste réel de sa cible et sembler provenir d’une autre personne identifiée dans la même chaîne administrative.
Une autre table contient des milliers de hachages de mots de passe
Un deuxième fichier récupéré contient des comptes utilisateurs avec leurs identifiants et un champ destiné au mot de passe. Dans les éléments analysés, ces valeurs sont enregistrées sous forme de hachages bcrypt.
Il est important de faire la distinction : ces mots de passe ne sont pas stockés en clair. Le bcrypt est conçu pour ralentir les tentatives visant à retrouver un mot de passe à partir de son empreinte. Cela n’élimine cependant pas tout risque lorsque des mots de passe faibles ou déjà compromis ont été utilisés.
Mais une troisième table stocke réellement des mots de passe en clair
Le constat est différent dans un autre fichier. Cette table associe directement des adresses e-mail ou identifiants de connexion à des mots de passe lisibles en clair. Les comptes observés sont notamment associés à des mairies, collectivités, associations ou autres organisations.
Cyberattaque.org ne reproduit volontairement aucun mot de passe, identifiant de connexion ou couple permettant d’accéder à un compte. Les valeurs présentes montrent cependant que plusieurs mots de passe sont suffisamment faibles ou prévisibles pour rendre leur exposition particulièrement problématique.
La présence de ces mots de passe dans la base ne permet pas d’établir qu’ils sont encore tous valides en septembre 2026. Certains enregistrements peuvent provenir d’anciens systèmes ou de comptes historiques. Ils doivent néanmoins être considérés comme compromis, notamment en raison du risque de réutilisation sur d’autres services.
Un risque qui dépasse le seul site de l’AMF
C’est probablement l’un des aspects les plus sensibles de cette fuite. Lorsqu’un mot de passe exposé est également utilisé sur une messagerie, un extranet municipal ou un autre service professionnel, la compromission d’un compte initialement lié à l’AMF peut devenir un point de départ vers d’autres environnements.
Le risque est particulièrement important pour les collectivités disposant de petites équipes informatiques, où les mêmes adresses et parfois les mêmes habitudes d’authentification peuvent être utilisées sur plusieurs outils.
114 000 entrées ne signifient pas nécessairement 114 000 victimes uniques
Le chiffre de 114 000 annoncé avec la publication doit être interprété avec prudence. Plusieurs tables différentes sont concernées et une même personne peut apparaître dans plusieurs ensembles ou posséder plusieurs enregistrements.
Il est donc plus exact de parler à ce stade de plus de 100 000 entrées ou profils diffusés plutôt que d’affirmer que 114 000 personnes distinctes ont été touchées.
Phishing, usurpation d’élus et fraude au président parmi les risques
Au-delà de l’éventuelle réutilisation des mots de passe, cette base offre un contexte particulièrement favorable aux attaques ciblées. Un cybercriminel peut connaître le nom du maire, celui d’un DGS, les responsables RH ou financiers et la structure exacte dans laquelle ils travaillent.
Ces informations peuvent alimenter des tentatives de fraude au président, faux ordre de virement, phishing ciblé, usurpation d’un élu ou d’un responsable administratif. L’utilisation d’une véritable identité, d’un véritable poste et d’une véritable collectivité rend les scénarios beaucoup plus crédibles qu’un simple courriel frauduleux envoyé au hasard.
Une fuite symbolique pour un acteur engagé sur la cybersécurité des communes
L’incident est d’autant plus notable que l’AMF est elle-même engagée sur les questions de cybersécurité des collectivités et participe à des actions de sensibilisation auprès des communes et intercommunalités, régulièrement ciblées par des cyberattaques.
Aucune confirmation officielle pour le moment
La fuite a été rendue publique dans la matinée du 4 septembre 2026. À ce stade, l’AMF n’a pas encore communiqué publiquement sur cette revendication.
Les fichiers diffusés permettent néanmoins de constater la présence de nombreuses données professionnelles liées aux élus et agents publics, de comptes protégés par des hachages bcrypt et, dans une autre table, d’identifiants associés à des mots de passe stockés directement en clair. Le périmètre complet de l’extraction, la date exacte de l’intrusion et la validité actuelle des différents comptes restent encore à déterminer.