PIRATAGE • Selon nos informations, les mots de passe des e-mails du syndic lausannois Grégoire Junod et du conseiller national vaudois Olivier Feller ont fuité à plusieurs reprises sur la Toile. Trois autres municipaux, ainsi que le CHUV et les Services industriels lausannois, ont également vu certaines de leurs données dérobées.
Nos élus sont-ils de véritables passoires en matière de sécurité informatique? Ou ne sont-ils que les victimes collatérales d’attaques incessantes menées depuis les quatre coins du globe?
Une chose est sûre: la situation a de quoi inquiéter, tant elle semble désormais s’inscrire dans la durée. Dans les faits, le syndic Grégoire Junod a vu le mot de passe de son adresse e-mail professionnelle subtilisé à trois reprises: une première fois en novembre 2020, puis à nouveau en février et en avril de cette année. Une répétition troublante qui illustre la pression constante exercée sur les comptes des responsables politiques.
La Ville «au courant»
Et il n’est pas le seul au sein de la Municipalité, trois autres élus - Pierre-Antoine Hildbrand, Florence Germond et Xavier Company - ont vu une partie de leurs données personnelles exposées: adresse physique, fonction, e-mail, voire profils sur les réseaux sociaux. Interrogés séparément, les municipaux concernés ont préféré nous renvoyer vers leur collègue Natacha Litzistorf, responsable du service informatique de la Ville et qui fait partie des trois membres de l’exécutif non concernés par ces fuites de données. Elle nous a adressé une réponse collective qui se veut rassurante:«Nous sommes au courant de ces piratages. À notre connaissance, aucun n’a eu de conséquences dommageables pour des tiers ou les personnes concernées, grâce à des réactions adéquates. Mais tout d’abord il faut impérativement rappeler que la sécurité est une priorité et que plusieurs outils de détection et protection sont déployés.» Autre victime avérée, le conseiller national vaudois Olivier Feller a lui aussi vu le mot de passe de son adresse parlementaire circuler sur la Toile - en novembre 2020, en mai 2024 et encore en avril 2025. Informé par nos soins, l’élu reconnaît tomber des nues:«Je vais me rendre dans les bureaux du service informatique du Parlement pour en savoir davantage.»
Risque de fraude
Pour Stéphane Koch, expert en cybersécurité et vice-président d’ImmuniWeb, rien de surprenant dans cette «data breach»:«Que des élus lausannois soient impliqués dans une fuite de données n’est pas surprenant: les plateformes auxquelles on confie nos identifiants ne sont pas toujours suffisamment sécurisées. Nonobstant, utiliser une adresse e-mail professionnelle en dehors du cadre professionnel est une erreur.»
Il poursuit:«Le site Have I Been Pwned est fiable, ce qui confirme que les mots de passe et autres informations de ces élus ont bel et bien circulé sur le web ou le darknet. De plus, j’ai pu très facilement récupérer le mot de passe associé à l’une de leurs adresses e-mail, via une autre plateforme web, payante. Ce qui démontre l’ampleur du risque et l’importance d’avoir des mots de passe uniques.»
Les conséquences potentielles, rappelle-t-il, sont loin d’être anodines: une personne mal intentionnée peut consulter les e-mails, accéder à des informations confidentielles, ou encore se faire passer pour l’un de ces élus afin de mener une fraude. Bref, un scénario qui démontre une nouvelle fois que, dans le domaine numérique, la moindre négligence peut se payer au prix fort.
Le CHUV et les SiL aussi concernés par plusieurs fuites
Outre des élus lausannois, la fuite de données touche également des institutions clés à Lausanne. C’est le cas des SiL dont l’adresse e-mail destinée au contact avec la clientèle a subi pas moins de sept piratages ces treize dernières années. La plus récente, mais aussi la plus inquiétante remonte au mois d’avril de cette année, touche directement le mot de passe. Même constat pour l’adresse principale duCHUV qui a connu une fuite similaire en avril dernier. Du côté de la Direction des systèmes d’information de l’hôpital cantonal, on minimise:«La fuite d’avril 2025 est une compilation d’anciennes fuites de données (combo-list ou méga-liste), ce qui est une pratique habituelle de nombreuses sociétés et groupes malicieux. Il ne s’agit donc pas d’une nouvelle fuite. De plus, info@chuv.ch n’est pas liée à un compte (login) CHUV. Une compromission d’un compte utilisant cette adresse comme identifiant sur un site externe n’aurait pas d’incidence directe sur le système d’information du CHUV.»
