Cyber Incident Victim: Commune de Merlevenez
Date:
Mar 2025
Location:
France
Summary
The commune of Merlevenez fell victim to a cyber intrusion in which attackers gained remote control of its computers after a malicious email attachment was opened. They installed covert spyware that let them monitor internal communications and impersonate the director general of services to place fraudulent orders for telephone lines and computer equipment with suppliers. The attackers also attempted to alter the municipality’s bank details on genuine invoices to divert funds. Vigilant suppliers verified the requests with the legitimate official, thwarting the fraud and prompting the commune and its director general to file a police complaint.
| CIA Posture | Motives | Tactics, Techniques & Procedures |
|---|---|---|
| Available to members | 1 motive | 2 techniques |
| Threat Actors | Type | Location |
|---|---|---|
| 0 actors | Available to members | Available to members |
Description
La commune de Merlevenez, située dans le Morbihan entre le Blavet et la ria d’Etel près de Lorient, a été victime d’une cyberattaque à la mi‑mars 2025 selon les informations publiées par France Bleu le 12 mars 2025. Les pirates ont initialement pénétré le système informatique de la mairie après qu’un employé ait reçu un courriel provenant prétendument d’un fournisseur local contenant une pièce jointe illisible ; le directeur général des services (DGS) a ouvert cette pièce jointe, ce qui a permis l’installation de deux logiciels espions sur son ordinateur. Ces outils ont donné aux attaquants un contrôle à distance discret et invisible pour l’utilisateur, leur permettant de se déplacer d’un poste de travail à l’autre sans être détectés. Une fois installés, les logiciels ont permis aux hackers d’observer les échanges de courriels entre les services municipaux et divers partenaires commerciaux, en capturant les identités, adresses e‑mail, identifiants et codes d’accès associés aux comptes clients. Le DGS avait auparavant suivi des formations en ligne proposées par l’Agence nationale de la sécurité des systèmes d’information (ANSSI), ce qui est mentionné dans l’article comme élément de son parcours professionnel.
Le 12 mars 2025, les attaquants ont tenté de passer deux commandes frauduleuses en usurpant l’identité du DGS : ils ont voulu acheter pour 25 000 euros de lignes téléphoniques auprès de Bouygues et pour plus de 125 000 euros de matériel informatique et multimédia auprès de Lenovo. Les deux entreprises, ayant remarqué l’anomalie des demandes – la venant de changer récemment ses équipements téléphoniques – ont contacté le véritable DGS pour vérifier la légitimité des commandes, ce qui a révélé l’usurpation d’identité et a permis d’empêcher la réalisation des achats. Cette prise de contact a également entraîné l’interruption de l’activité des pirates dans le réseau communal, mettant fin à leur capacité à poursuivre les manœuvres frauduleuses en temps réel. Parallèlement à ces tentatives de commande, la mairie a découvert que les pirates avaient utilisé de véritables factures de la commune afin de tenter de faire modifier les relevés d’identité bancaire (RIB) destinés à recevoir des paiements, une technique décrite dans l’article comme fréquemment employée par les cybercriminels pour détourner des fonds après qu’ils aient été virés. La municipalité a déposé plainte pour piratage informatique et le DGS a déposé une plainte distincte pour usurpation d’identité, comme indiqué dans le texte source.
L’incident a été rendu public par l’intermédiaire de l’article de France Bleu, qui précise également que la préfecture et les gendarmes du Morbihan diffusent régulièrement des messages de prévention concernant les risques cyber pour les collectivités locales, le dernier en date étant celui du lundi 24 mars 2025. Aucun autre détail technique concernant les logiciels espions spécifiques, les variantes de malware utilisées ou les éventuelles données exfiltrées n’est fourni dans le matériau source. Le récit se limite aux faits relatés : le vecteur d’infection initial via la pièce jointe, l’installation des outils de contrôle à distance, la surveillance des échanges de courriels, les tentatives de fraude auprès de Bouygues et Lenovo, la détection par les entreprises concernées, la découverte de la manœuvre de changement de RIB et les dépôts de plainte effectués par la commune et son DGS. Aucun élément de spéculation, de conseil ou d’opinion n’est ajouté, conformément aux contraintes imposées.