Après la cyberattaque, Differdange face au doute sur ses données sensibles

En matière de violation de données, les mots choisis disent souvent autant que les faits établis. À Differdange, la commune juge « hautement probable » que des informations personnelles transmises par ses formulaires en ligne aient été compromises. Elle ne peut toutefois pas affirmer publiquement que des fichiers ont été dérobés. Entre ces deux constats s’ouvre une zone d’incertitude particulièrement préoccupante, tant les documents concernés touchent à l’identité, à la santé, au travail et aux finances des administrés.

Le site municipal a retrouvé son fonctionnement après la correction d’une vulnérabilité logicielle. Mais le retour des services en ligne ne clôt pas l’incident : aucune expertise informatique rendue publique n’établit si les données ont été simplement accessibles, consultées, copiées ou envoyées hors des systèmes de la ville. Cette absence de conclusion limite la capacité des personnes concernées à mesurer leur exposition réelle.

Le guichet numérique devenu point de fragilité

Dans son avis de sécurité, la Ville de Differdange indique avoir identifié un incident affectant son site internet entre le 10 et le 13 avril 2026. Elle a temporairement désactivé le site, lancé des investigations, puis détecté et corrigé une faille logicielle. Le portail et les services en ligne ont ensuite été rétablis.

« Nous avons mis le site hors ligne vendredi, par mesure de précaution, car une vulnérabilité avait été identifiée. » — Anja Bodenröder, porte-parole de la Ville de Differdange

La vulnérabilité ne concernait pas seulement des coordonnées ordinaires. Les formulaires municipaux pouvaient contenir une combinaison étendue de pièces administratives et de renseignements personnels :

• des documents d’identité et des cartes de sécurité sociale ;
• des certificats de travail et des contrats de travail ;
• des coordonnées bancaires, dont des IBAN ;
• des certificats de vaccination et d’autres données de santé ;
• des diplômes et documents scolaires ;
• des pièces judiciaires et des certificats de résidence.

Prises isolément, certaines de ces informations sont déjà sensibles. Rassemblées, elles peuvent rendre une tentative d’usurpation d’identité ou de fraude nettement plus crédible. Une pièce d’identité associée à une adresse, à un employeur ou à un compte bancaire fournit des éléments cohérents à un fraudeur. Quant aux informations médicales et judiciaires, leur divulgation ne peut être neutralisée par un simple changement de mot de passe.

Une compromission probable, un vol non démontré

La formulation municipale doit être lue avec précision. La commune a signalé une forte probabilité de compromission des données envoyées par formulaire ; elle n’a pas annoncé que leur extraction avait été confirmée. Le 29 avril, un service municipal affirmait qu’aucun élément ne prouvait que des données avaient effectivement été emportées, selon Tageblatt.

Ces deux positions ne sont pas contradictoires. Une enquête peut montrer qu’un tiers non autorisé avait la possibilité d’accéder à un système sans parvenir à déterminer ce qu’il a fait de cet accès. En l’absence de traces concluantes, la consultation, la copie et l’exfiltration restent des hypothèses distinctes.

Aucun rapport forensique public n’a, à ce jour, tranché entre elles. La ville n’a pas indiqué publiquement si ses journaux techniques révélaient l’ouverture ou le téléchargement de fichiers, ni si des données avaient été transférées à l’extérieur. La sensibilité des documents ne saurait tenir lieu de preuve : l’étendue exacte de l’incident demeure donc irrésolue dans l’espace public.

Le secrétaire communal Henri Krecké a résumé une limite qui vaut au-delà de Differdange : « En matière de protection des données et de sécurité des sites internet, nous sommes plus avancés que d’autres communes. Mais le “risque zéro” n’existe pas. » La robustesse revendiquée d’un dispositif ne dispense pas, après une faille, de documenter aussi précisément que possible ce qui a été exposé.

Le chronomètre du RGPD reste dans l’ombre

Tageblatt a également rapporté que la Commission nationale pour la protection des données avait été informée. La date précise de cette notification n’a cependant pas été rendue publique. Il est donc impossible, à partir des informations disponibles, de calculer le délai entre la prise de connaissance de l’incident par la commune et le signalement à la CNPD.

Ce délai n’est pas accessoire. En vertu du RGPD, une violation susceptible de présenter un risque pour les droits et libertés des personnes doit généralement être notifiée à l’autorité de contrôle dans les 72 heures suivant le moment où l’organisme en a connaissance. Lorsqu’un risque élevé pèse sur les personnes, celles-ci doivent également être informées.

Le silence public sur la date exacte ne démontre pas que l’obligation a été méconnue. Il laisse simplement sans réponse un élément essentiel de la chronologie, alors que celle-ci permettrait d’apprécier la rapidité de la réaction institutionnelle.

Des consignes de vigilance, sans dispositif dédié

La municipalité a averti les usagers des risques d’usurpation d’identité, de fraude et d’hameçonnage. Elle leur a recommandé de surveiller leurs comptes, de rester attentifs aux messages suspects et d’éviter les liens douteux. Les questions relatives à la protection des données peuvent être adressées à dpo@differdange.lu ; les demandes techniques, à incidentsite@differdange.lu.

Les personnes ayant envoyé un formulaire entre le 9 et le 12 avril ont par ailleurs été invitées à renouveler leur démarche, la transmission initiale ayant pu échouer. Cette mesure répond au risque de non-réception administrative, mais non aux conséquences éventuelles d’une exposition des documents.

Dans son avis public, la commune n’a annoncé ni service de surveillance d’identité, ni remboursement financier, ni programme spécifique d’assistance aux victimes. Cela n’exclut pas qu’une aide ait pu être proposée individuellement. Cela fixe néanmoins les limites du soutien publiquement visible : des avertissements, deux adresses de contact et une invitation à la prudence, alors que la question centrale — savoir si des données ont effectivement quitté le contrôle municipal — reste ouverte.