Ce n'est pas une cyberattaque qui a fermé le site de votre préfecture, c'est l'État lui-même. Mercredi 21 octobre, dès le début de l'après-midi, les sites des préfectures de la Drôme et de l'Ardèche ont cessé de répondre, puis ceux du Nord, du Rhône, de la Gironde et de la préfecture de police de Paris ont affiché la même page de maintenance. Le ministère de l'Intérieur a expliqué avoir agi « à la demande de l'Anssi », l'agence nationale de la cybersécurité, en mettant en maintenance préventive l'ensemble de ses sites exposés à une vulnérabilité critique.

D'autres portails publics ont affiché une page de maintenance dans la journée, du site des impôts à celui de Météo-France, en passant par la CNIL et plusieurs médias, sans toujours en donner la raison. Pour les préfectures, il s'agit d'une fermeture volontaire, décidée pour mettre les serveurs à l'abri le temps d'installer une mise à jour, et non d'une attaque qui les aurait mis à terre. La nuance compte : elle ne vous demande rien sur votre ordinateur, mais un peu plus de vigilance dans votre boîte mail.
 

PHP n'est ni un virus ni un pirate, c'est un langage informatique installé sur les serveurs qui fabriquent les pages des sites, dont beaucoup de sites construits avec WordPress. D'après le Wall Street Journal, il fait fonctionner jusqu'à 70 % des sites dans le monde, ce qui mesure sa diffusion et non le nombre de sites réellement vulnérables. Mardi 20 octobre au soir, l'équipe de sécurité de PHP a prévenu que deux failles notées 9,2 sur 10 seraient corrigées le lendemain.

Ces deux failles ont un point commun redoutable : selon l'alerte publiée par le CERT-FR, le centre d'alerte de l'État, elles permettent d'exécuter du code à distance, c'est-à-dire de prendre la main sur un serveur sans avoir à y accéder physiquement. Un pirate qui y parvient peut modifier le site, y dérober des données ou y installer un logiciel malveillant. Voilà pourquoi tant d'administrations ont préféré couper plutôt que d'attendre.

Le calendrier s'est d'ailleurs emballé. Les correctifs devaient sortir le jeudi 22 octobre, mais des détails ont circulé avant l'heure, et la mise à jour a été publiée mercredi vers 15 h 40. Le matin même, le directeur technique de Cloudflare disait voir émerger les premières attaques. Ce qui frappe aussi, c'est l'origine de la découverte : d'après le site américain Cybersecurity Dive, des chercheurs de la société Calif ont mis au jour ces failles dès le mois d'août à l'aide d'un modèle d'intelligence artificielle d'OpenAI.
 

Jeudi 22 octobre, vers 8 h 40, nous avons refait le tour des sites qui vous servent le plus souvent. Sur le site des impôts, la page de maintenance bloque la documentation, les actualités et les formulaires à télécharger, mais elle précise que vous pouvez toujours accéder à votre espace Finances publiques et aux services en ligne, grâce aux liens proposés sur cette même page. Vos avis et vos paiements restent donc à portée de clic.

Les sites de préfecture que nous avons consultés, dont ceux du Nord et du Rhône, restaient fermés, avec une page qui promet un retour « d'ici quelques instants » et renvoie vers leurs réseaux sociaux. Le ministère de l'Intérieur avait prévenu que les informations des préfectures passeraient par ces réseaux et par voie d'affichage. Pour une carte grise, un permis de conduire ou un passeport, le guichet en ligne n'est de toute façon pas celui de la préfecture mais celui de l'ANTS, l'agence des titres sécurisés, qui répondait normalement, tout comme Météo-France.

Plusieurs sites très fréquentés par les retraités affichaient en revanche une page de maintenance au même moment : celui de l'Assurance retraite, le portail commun Info Retraite et celui de la Caf, sans préciser la cause de l'interruption. Ces organismes n'ont pas dit si elle avait un lien avec les failles PHP. Si vous aviez une démarche à boucler ce jour-là, un réflexe simple vous protège : faites une capture d'écran de la page de maintenance, avec la date et l'heure visibles, et revenez un peu plus tard.
 

Sur votre téléphone, votre tablette ou votre ordinateur, vous n'avez rien à installer. PHP tourne sur les serveurs des sites, pas sur les appareils de ceux qui les consultent, et c'est aux sites de se mettre à jour. Les abonnés Free se sont un temps inquiétés pour leur box, dont l'interface porte des fichiers en « .php », mais selon Frandroid, aucune ne fait tourner de serveur PHP. Une page de maintenance signale un site qui s'est mis à l'abri, et rien ne permet de dire qu'il a été piraté.
 

Le vrai danger pour nous n'est pas dans les serveurs, il est dans les messages qui risquent de surfer sur l'affaire. Une panne dont tout le monde parle est un prétexte idéal pour un faux courriel « des impôts » ou « de votre caisse de retraite » qui vous annonce un compte compromis et vous demande de vous reconnecter d'urgence par un lien. Comme le rappelle Cybermalveillance.gouv.fr, aucune administration ou société commerciale sérieuse ne vous demandera vos données bancaires ou vos mots de passe par message électronique ou par téléphone.

Le geste qui protège tient en une habitude, et je vous la recommande pour les jours qui viennent : ne cliquez pas sur le lien d'un message, tapez vous-même l'adresse du site ou passez par un favori que vous avez créé. Si une page vous paraît douteuse, regardez l'adresse dans la barre du navigateur, car un seul caractère peut changer pour vous tromper. Ces conseils figurent dans la fiche réflexe consacrée à l'hameçonnage par Cybermalveillance.gouv.fr.
  Et si vous avez déjà cliqué ? Changez aussitôt le mot de passe communiqué, sur ce site et partout où vous l'utilisiez, et faites opposition auprès de votre banque si vous avez donné vos coordonnées bancaires. Pour être conseillé, la plateforme indique le service Info Escroqueries, joignable gratuitement au 0 805 805 817, et l'assistance en ligne 17Cyber.gouv.fr. Les sites fermés depuis mercredi rouvriront à mesure que leurs serveurs seront corrigés, et d'ici là, garder la main sur le chemin qui vous mène à eux est votre meilleure défense.