La Ville de Joigny et la Communauté de communes du Jovinien, dans l’Yonne, ont fait face à une activité malveillante particulièrement intense contre leurs systèmes informatiques. En seulement une semaine, les outils de sécurité de la collectivité ont enregistré 268 795 tentatives d’intrusion.
Selon le maire de Joigny et président de l’intercommunalité, Nicolas Soret, interrogé par ICI Auxerre, ces tentatives provenaient de 97 376 adresses considérées comme malveillantes et seraient liées à 1 901 attaquants distincts. Un seul profil aurait concentré à lui seul 109 232 tentatives.
Malgré ces chiffres impressionnants, les défenses semblent avoir tenu : la collectivité indique qu’aucun équipement n’a été endommagé et qu’aucune donnée personnelle n’a été dérobée.
Joigny et 18 autres communes réunies dans le Jovinien
Située dans le département de l’Yonne, Joigny compte un peu plus de 9 000 habitants. Elle appartient à la Communauté de communes du Jovinien, qui rassemble 19 communes et environ 21 000 habitants.
L’intercommunalité exerce notamment des compétences liées au développement économique, à l’aménagement du territoire, aux déchets, à l’environnement ou encore au numérique. Comme de nombreuses collectivités, son fonctionnement repose donc sur plusieurs systèmes et services informatiques indispensables au travail quotidien des agents.
268 795 tentatives détectées en sept jours
Nicolas Soret a rendu publique l’attaque le 9 septembre 2026. Selon les données remontées par les dispositifs de sécurité de la collectivité, 268 795 tentatives d’intrusion ont été enregistrées sur une période d’une semaine.
La collectivité avance également plusieurs chiffres permettant de mesurer l’intensité de l’activité observée :
- 268 795 tentatives d’intrusion détectées ;
- 97 376 adresses malveillantes identifiées ;
- 1 901 attaquants distincts comptabilisés par les outils de la collectivité ;
- jusqu’à 109 232 tentatives attribuées au profil le plus actif.
Ces chiffres doivent toutefois être interprétés correctement. Une tentative d’intrusion ne correspond pas nécessairement à une attaque sophistiquée menée manuellement par une personne. Les infrastructures exposées sur Internet sont constamment parcourues par des scanners automatisés, des botnets et des outils cherchant des services vulnérables.
De la même manière, les 1 901 attaquants distincts annoncés ne signifient pas nécessairement que 1 901 personnes physiques se trouvaient derrière leurs ordinateurs. Une même infrastructure criminelle peut utiliser de nombreuses machines, serveurs compromis, proxys ou adresses IP.
Des serveurs repérés en Russie, à Taïwan et en Roumanie
Les systèmes utilisés pour lancer une partie des tentatives ont notamment été localisés en Russie, à Taïwan et en Roumanie, selon les informations communiquées par Nicolas Soret.
Cette localisation ne permet cependant pas de déterminer la nationalité ou la position réelle des attaquants. Les cybercriminels utilisent couramment des serveurs loués, machines compromises, VPN ou relais répartis dans plusieurs pays afin de lancer leurs opérations et masquer leur véritable origine.
Une série d’attaques considérées comme mineures
Interrogé par ICI Auxerre, Éric Apffel, élu de Joigny chargé notamment des questions numériques, évoque une série d’attaques mineures plutôt qu’une compromission massive du système d’information.
Les dispositifs déployés par la collectivité permettent notamment de détecter des comportements suspects et de repérer des connexions provenant d’adresses IP déjà connues pour des activités malveillantes.
L’élu indique également qu’un des auteurs aurait pu être associé à un pseudonyme et une adresse IP et serait déjà connu dans le milieu de la cybersécurité. Aucun nom n’a cependant été rendu public permettant d’attribuer formellement l’ensemble de cette activité à un hacker ou à un groupe particulier.
Aucune donnée personnelle volée
Le point le plus important reste l’absence d’impact constaté. Nicolas Soret affirme qu’aucun équipement informatique n’a été endommagé et qu’aucune donnée personnelle n’a été volée.
À ce stade, rien n’indique donc qu’un attaquant ait réussi à prendre durablement le contrôle d’un serveur, à déployer un rançongiciel ou à exfiltrer une base de données appartenant à la Ville de Joigny ou à la Communauté de communes du Jovinien.
La collectivité indique avoir effectué les déclarations auprès des autorités compétentes.
Pourquoi autant de tentatives peuvent être lancées en quelques jours
Le volume peut sembler considérable pour une collectivité d’environ 21 000 habitants, mais les attaques automatisées permettent aujourd’hui de tester une infrastructure des milliers de fois en très peu de temps.
Des outils peuvent parcourir en permanence Internet pour identifier des ports ouverts, interfaces d’administration, VPN, messageries, serveurs web ou logiciels utilisant une version vulnérable. Lorsqu’une cible répond, différentes combinaisons d’identifiants ou méthodes d’exploitation peuvent ensuite être essayées automatiquement.
Un même serveur contrôlé par un attaquant peut ainsi générer des dizaines ou centaines de milliers de requêtes sans intervention humaine continue. Cela pourrait notamment expliquer pourquoi le profil présenté comme le plus actif représente à lui seul plus de 100 000 tentatives.
Joigny s’était déjà préparée à un scénario de cyberattaque
La réaction de la collectivité intervient dans un contexte particulier : Joigny avait déjà participé à un exercice de gestion de crise cyber organisé par la préfecture de l’Yonne, avec notamment la participation de la Gendarmerie et de l’ANSSI.
Le scénario simulait alors une situation beaucoup plus grave : systèmes rendus indisponibles, données dérobées, demande de rançon et perturbation des services municipaux. L’objectif était d’entraîner les élus et agents à organiser la continuité d’activité, communiquer pendant la crise et restaurer progressivement les services.
Cette préparation prend aujourd’hui une dimension très concrète. Nicolas Soret estime que les collectivités doivent désormais considérer les tentatives de cyberattaque comme une menace quasiment permanente.
Les collectivités restent des cibles particulièrement exposées
Les communes et intercommunalités constituent des cibles intéressantes pour les cybercriminels. Elles disposent de nombreux services accessibles à distance et manipulent des informations concernant leurs habitants, agents, fournisseurs et partenaires, tout en disposant de moyens informatiques très variables selon leur taille.
La situation observée dans le Jovinien montre aussi une réalité moins visible des cyberattaques : celles qui sont effectivement détectées et bloquées avant de provoquer une fuite de données ou une interruption de service.
Dans ce cas précis, les 268 795 tentatives recensées ne correspondent pas à autant de compromissions réussies. Elles donnent en revanche une idée de la pression permanente exercée sur les systèmes exposés des collectivités, y compris lorsqu’aucune conséquence visible n’est finalement constatée.