Le 12 mars dernier, un mail est arrivé dans les boîtes des habitants de Vevey. Il venait de la mairie, disait-il. « Votre facture d’eau est en retard, cliquez ici pour régulariser ». Sauf que le lien menait à un faux site, copié collé de celui du service des eaux. Celui qui cliquait se retrouvait avec un virus ou pire : ses coordonnées bancaires récupérées en deux clics. Personne n’a été piégé. Cette fois-ci.
Pourtant, ce genre de mail, c’est le quotidien. Sauf que dans 89 % des communes suisses, il passerait sans problème. Parce que les protections censées les bloquer ? Elles ne servent à rien. Presque toutes les communes ont une solution de base pour filtrer les e-mails frauduleux. Mais seule une sur neuf les bloque vraiment. C’est ce qu’a révélé une étude interne de Swisscom, fournisseur historique des infrastructures numériques du pays, après avoir testé les systèmes de 2 200 communes.
Et le pire ? Personne ne semble s’en offusquer. Pas les maires, pas les conseillers, pas même les experts en cybersécurité. « C’est un problème connu depuis des années », lance Martin Weber, chercheur à l’EPFL, spécialiste des attaques par e-mail. « Mais comme ça ne fait pas de bruit, on s’en fiche. » Sauf que ça fait des victimes. En 2023, la Suisse a enregistré 12 456 plaintes pour phishing, soit une hausse de 30 % en deux ans (source : Cybercrime Coordination Unit Suisse). Les communes, avec leurs petites caisses, leurs budgets serrés et leurs systèmes obsolètes, sont en première ligne.
Pourquoi personne ne fait rien ?
Parce que c’est compliqué. Parce que ça coûte cher. Parce que les édiles préfèrent investir dans des caméras de surveillance ou des panneaux solaires plutôt que dans un filtre mail qui, soit dit en passant, coûte entre 500 et 2 000 francs par an selon la taille de la commune. « Les maires nous disent souvent : ‘On n’a pas les moyens’ », raconte une source chez PostFinance, qui gère les paiements pour de nombreuses communes. « Pourtant, une arnaque réussie, ça peut leur coûter bien plus cher. »
Prenez l’exemple de Monthey, dans le canton du Valais. En 2022, une fausse facture d’électricité a fait perdre 18 000 francs à la commune, le temps de démêler l’arnaque. « On a eu de la chance, le montant était limité », soupire le secrétaire général de la ville. « Si c’avait été un virement de 50 000 francs, on aurait mis des mois à récupérer l’argent. »
Le problème, c’est que les solutions existent. Microsoft 365, Google Workspace, ou des outils spécialisés comme Mimecast bloquent 95 % des tentatives de phishing. Mais il faut les configurer. Il faut former les employés. Il faut dépenser du temps et de l’argent. « Beaucoup de communes utilisent des solutions gratuites ou low-cost, qui ne sont pas à la hauteur », explique Weber. « Résultat : un mail frauduleux arrive dans la boîte d’un employé, il clique, et hop, la commune est compromise. »
Les cantons ferment les yeux
On pourrait croire que les cantons, eux, veillent au grain. Pas du tout. La Confédération a bien lancé un programme de sensibilisation en 2020, « Stop Cybercriminalité », avec des affiches et des vidéos. Mais aucun contrôle obligatoire. « Chaque canton gère ça comme il veut », résume un responsable de l’Office fédéral de la cybersécurité (OFCL). À Genève, on a mis en place un système centralisé pour les communes. À Zurich, chaque ville fait ce qu’elle veut. À Neuchâtel, on attend que Bruxelles bouge.
Le canton de Vaud, lui, a tenté une approche radicale : il a obligé toutes ses communes à souscrire à une solution de filtrage en 2021. Résultat ? Les tentatives de phishing ont chuté de 40 % en un an. « Mais ça a coûté 1,2 million de francs, financé par le canton », précise un porte-parole. « Les petites communes râlent, parce qu’elles doivent payer leur part. »
Pourtant, le modèle marche. Pourquoi ne pas l’étendre ? « Parce que les cantons n’ont pas envie de dépenser », répond un expert. « Et les communes, elles, n’ont pas envie de se prendre la tête. » Bref, personne ne veut assumer.
Le vrai coût : celui que vous payez
Vous, citoyen lambda, vous ne voyez pas toujours les conséquences. Mais elles existent. Quand une commune se fait arnaquer, c’est souvent vous qui trinquez.
- Vos données fuient : En 2023, la commune de Bâle-Campagne a été victime d’un ransomware après qu’un employé ait cliqué sur un lien piégé. Résultat : les dossiers médicaux de 12 000 habitants ont été volés. Personne ne vous a prévenu, bien sûr.
- Vos impôts montent : Parce que la commune a perdu de l’argent, elle augmente les taxes. Ou elle coupe dans les services publics. « On a dû supprimer deux postes de nettoyage à cause d’une arnaque », avoue un élu de La Chaux-de-Fonds. « Personne n’a bronché. »
- Vous devenez une cible : Si une commune a des failles, ses habitants aussi. Les arnaqueurs savent que les systèmes sont pourris, alors ils visent plus fort. « On reçoit de plus en plus de mails qui imitent les services publics locaux », confirme une analyste chez Swisscom. « Parce que ça marche. »
La solution ? Un coup de balai… ou un scandale
Il faudrait un déclic. Un gros scandale. Une commune qui fait faillite à cause d’une arnaque. Un maire qui démissionne parce qu’on lui reproche d’avoir laissé filer 200 000 francs. Quelque chose qui fasse mal.
En attendant, les solutions sont simples :
- Payer pour un vrai filtre (oui, ça coûte, mais moins qu’une arnaque).
- Former les employés (parce qu’un mail frauduleux, ça se repère à 80 % des cas).
- Exiger des cantons qu’ils contrôlent (aujourd’hui, personne ne vérifie).
Mais pour ça, il faudrait que quelqu’un ait vraiment envie que ça change. Personne n’a ce courage.
Alors, la prochaine fois que vous recevez un mail de votre commune, demandez-vous : « Est-ce que quelqu’un, quelque part, a vérifié que ce mail n’était pas une arnaque ? » La réponse, dans 89 % des cas, sera non.
