Un rançongiciel bloque la forêt lettone

Le 22 juin, une cyberattaque a mis hors service environ la moitié des systèmes informatiques de Latvijas valsts meži, l’entreprise forestière publique lettone. L’incident teste déjà la promesse européenne de NIS2 : transformer la cybersécurité publique en responsabilité opérationnelle.

Un permis de chasse, une carte forestière, des données de livraison de bois : en Lettonie, des services publics très concrets ont soudain disparu des écrans. L’attaque a frappé Latvijas valsts meži (LVM) pendant Jāņi, la fête lettone du solstice d’été, un moment où les équipes de surveillance sont moins nombreuses (LTV).

LVM a retiré préventivement plusieurs services publics : cartes numériques, application de chasse Mednis, échanges de données avec ses partenaires. L’entreprise a commencé à restaurer ses systèmes depuis des sauvegardes et a refusé de coopérer avec l’attaquant. CERT.LV, l’équipe lettone de réponse aux incidents cyber, a confirmé que des éléments volés avaient été publiés en ligne, tout en précisant que les enquêteurs devaient encore déterminer quelles données avaient réellement été prises. Son analyse pointe une opération d’extorsion à but lucratif, pas une campagne liée à un État (LTV). Autrement dit : un groupe criminel a suffi à bloquer des services utilisés dans la vie quotidienne.

Le vieux câblage derrière les interfaces modernes

Une grande organisation publique ressemble souvent à un bâtiment rénové. L’accueil paraît neuf : portails web, applications mobiles, cartes interactives. Derrière les murs subsistent des systèmes d’authentification anciens, des accès à distance de prestataires, des logiciels qui n’ont pas été modernisés au même rythme que les interfaces visibles. Ce sont ces points faibles, invisibles pour l’usager, que les groupes de rançongiciel testent d’abord.

Le scénario est désormais classique : un mot de passe volé ou un système non corrigé ouvre une première porte, puis l’attaquant transforme patiemment un accès limité en droits d’administrateur. Lorsqu’une demande de rançon apparaît enfin, l’intrusion peut durer depuis des semaines (CISA). Selon LTV, des tests contre les systèmes de sécurité de LVM avaient commencé avant la date visible de l’attaque (LTV).

Les organismes publics sont particulièrement exposés parce qu’ils supportent mal l’interruption de service et doivent maintenir ensemble des technologies anciennes et récentes pendant de longs cycles de modernisation (CISA, CrowdStrike). La fragilité ne vient pas seulement d’un logiciel défaillant : elle naît souvent de la jonction entre l’ancien et le nouveau.

Le même signal chez les voisins

L’attaque lettone s’inscrit dans une vulnérabilité régionale plus large. En Lituanie, les autorités enquêtent sur le vol de plus de 600 000 extraits du registre immobilier, contenant notamment des codes d’identification personnelle, auprès de l’opérateur public Registrų centras (LRT). L’accès serait passé par des comptes salariés compromis, avec de premières connexions illicites remontant au début de 2026. Le public ne l’a appris que plusieurs mois plus tard (TV3). Environ 1 000 personnes se préparaient à poursuivre l’État (Verslo žinios).

Les deux affaires diffèrent techniquement, mais elles désignent le même angle mort : des infrastructures numériques civiles, chargées de fonctions ordinaires de l’État, restent insuffisamment défendues. L’Allemagne a déjà montré jusqu’où cette faiblesse peut aller. En 2021, l’arrondissement d’Anhalt-Bitterfeld a déclaré l’état de catastrophe après une attaque par rançongiciel, avec des services aux citoyens perturbés pendant des semaines (Landkreis Anhalt-Bitterfeld).

Les nouvelles règles à l’épreuve d’une panne réelle

NIS2 est la directive européenne qui fait de la résilience cyber une responsabilité de direction. Les opérateurs de services essentiels doivent envoyer une première alerte dans les 24 heures suivant la détection d’un incident, transmettre une notification détaillée dans les 72 heures, puis produire un rapport final dans le mois (EUR-Lex). Les dirigeants peuvent être tenus personnellement responsables de la gestion du risque cyber (European Commission).

La Lettonie a transposé NIS2 dans son droit national à partir de septembre 2024, avec des exigences minimales de cybersécurité entrant en vigueur en juillet 2025 (Business.gov.lv). Après l’attaque contre LVM, le premier ministre par intérim a signé cinq résolutions demandant aux ministères de rendre compte de la sécurité des systèmes publics et de la circulation des informations sur les incidents au sein de l’État (Kulbergs). Il a relié l’incident à des règles de cybersécurité en retard, reconnaissant implicitement qu’un texte juridique ne protège rien s’il ne se traduit pas en procédures testées.

Le vrai test commence donc après l’attaque. Combien de temps prendra la restauration de LVM ? Les citoyens sauront-ils quelles données personnelles ont été exposées ? Les sauvegardes avaient-elles été testées avant d’être nécessaires ? Chaque ministre peut-il désigner, dans sa chaîne de commandement, le responsable du risque cyber pour chaque système public ? Toutes les administrations européennes se heurtent désormais à ces questions. NIS2 les empêche surtout de les laisser sans réponse.