Mardi matin, les administrés des villes de Marseille, Nice, Nîmes, Tarbes, Pau, Angers ou Poitiers risquent de rencontrer des difficultés à se connecter à leurs services publics municipaux. Selon nos constatations, leurs sites Web retournaient à 10 heures un avertissement de type Service Unavailable (erreur 503), ou un message signalant une impossibilité de se connecter au serveur en HTTPS, signe probable d'une tentative d'attaque par déni de service distribué (DDoS) basée sur un flot de requêtes HTTP.

Une campagne portée par un groupe prorusse

Le procédé rappelle une précédente vague d'attaques par déni de service visant les collectivités françaises, observée le 2 septembre dernier. L'opération avait alors été revendiquée par Noname057(16), un collectif qui affiche des positions pro-russes, et rebondit régulièrement sur les manifestations de soutien à l'Ukraine pour appeler à des actions contre les institutions européennes ou les états-membres concernés.

Un tel appel a bien été lancé le 31 décembre au matin contre la France. « L'Ukraine a reçu plus de 150 millions d'euros du Danemark, de la France et de la Lituanie pour soutenir l'industrie de défense », écrit le groupe sur l'un de ses canaux de communication. « Nous avons décidé de féliciter la France russophobe pour la nouvelle année à venir », ajoute-t-il, avant d'égrainer une longue liste de sites. D'autres villes comme Bordeaux ou Montpellier, ainsi que le site du département des Landes ou de la région Nouvelle-Aquitaine sont mentionnés, mais étaient toujours en ligne vers 10 heures.

Une portée limitée

Noname057(16), comme d'autres collectifs du même genre, distribue des outils logiciels dédiés aux attaques DDoS et tente de fédérer une communauté, en parallèle de ses propres ressources, pour accentuer l'effet de ses opérations. La portée de ces dernières reste cependant limitée, comme nous le rappelait l’Agence nationale de la sécurité des systèmes d’information (ANSSI), en septembre dernier :

« Il est utile de rappeler qu’une attaque par DDoS sature temporairement, mais ne détruit pas et n’a pas d’impacts majeurs sur le site Internet ou les systèmes d’information de l’organisation ciblée. Il est donc important de ne pas surinterpréter de telles attaques ou leur donner trop de visibilité, pour éviter de faire le jeu des attaquants ».