La Commission électorale fédérale (FEC) a mis hors ligne son système de dépôt électronique à la suite d’une tentative de piratage signalée, perturbant la publication des informations sur le financement des campagnes à moins d’une semaine des élections de mi-mandat américaines du 3 novembre.
La panne a commencé tard le 26 octobre, empêchant les comités politiques et autres organisations de transmettre électroniquement des rapports urgents sur les dépenses de campagne. Les rapports déposés précédemment restent consultables, selon l’agence.
Bien que la FEC ait confirmé la perturbation, elle n’a pas confirmé publiquement qu’une intrusion avait réussi ni indiqué si des informations avaient été compromises. L’incident concerne la déclaration du financement des campagnes, et non les systèmes de vote ou le décompte des bulletins.
- Une tentative d’intrusion signalée provoque la mise hors ligne de la FEC
- La panne interrompt des déclarations essentielles sur les dépenses de campagne
- Un audit antérieur avait soulevé des inquiétudes concernant la gestion des correctifs
- Des experts déconseillent de rétablir les systèmes sans éléments probants suffisants
- Quelle sera la suite pour la FEC ?
Une tentative d’intrusion signalée provoque la mise hors ligne de la FEC
Selon Reuters, un responsable des dépôts électroniques de la FEC a averti les cabinets chargés de la conformité des campagnes qu’un attaquant tentait de s’introduire dans les systèmes de l’agence.
« Un acteur malveillant tente de s’introduire dans les systèmes de la FEC. Nous avons donc dû fermer temporairement nos services accessibles depuis le Web », a écrit le responsable dans un e-mail consulté par l’agence de presse.
La FEC a confirmé séparément que son système de dépôt électronique était indisponible et indiqué que ses équipes informatiques travaillaient à rétablir le service.
Dans une mise à jour publiée le 27 octobre, l’agence a déclaré avoir identifié un problème et mettre en œuvre un correctif. Au 28 octobre, son site Web continuait d’afficher un avis indiquant que le dépôt électronique était hors ligne.
La perturbation a affecté la transmission électronique des rapports, les formulaires de dépôt en ligne et les outils utilisés par les organisations qui préparent les déclarations de financement des campagnes. D’autres services liés aux dépôts auraient également été indisponibles.
La FEC n’a pas identifié l’attaquant, révélé la méthode d’intrusion présumée ni confirmé que quiconque avait obtenu un accès non autorisé.
La panne interrompt des déclarations essentielles sur les dépenses de campagne
Le moment choisi soulève une question immédiate de transparence.
Dans les derniers jours précédant une élection, certaines dépenses politiques doivent être déclarées dans les 24 heures, tandis que les contributions ou prêts de dernière minute répondant aux critères sont soumis à des obligations de déclaration sous 48 heures.
Le dépôt électronique étant indisponible, les organisations concernées ne peuvent pas transmettre ces rapports par le système habituel, ce qui pourrait retarder l’accès du public aux informations sur les dépenses politiques.
Michael Centrella, responsable des politiques publiques chez SecurityScorecard, a déclaré que l’agence devait expliquer comment les nouvelles déclarations seraient reçues et rendues accessibles pendant la panne.
« Le calendrier est particulièrement alarmant, les élections de mi-mandat n’étant plus qu’à une semaine. La FEC affirme que les rapports antérieurs restent consultables, mais ma préoccupation immédiate concerne le sort des nouvelles informations pendant la panne », a déclaré Centrella dans des propos transmis à eSecurity Planet.
« Les organisations ne pouvant apparemment pas transmettre leurs rapports de dépenses à 24 et 48 heures, les responsables doivent établir comment ces déclarations peuvent être reçues de manière sécurisée et rendues accessibles au public. »
L’incident n’indique pas que les systèmes d’administration des élections ont été compromis. La FEC réglemente le financement fédéral des campagnes, tandis que les autorités étatiques et locales administrent le vote.
« La FEC n’administre pas le vote, et cette panne ne doit pas être présentée comme la preuve que les bulletins ou le décompte des voix sont compromis », a déclaré Centrella.
Il s’inquiète que les responsables communiquent clairement cette distinction tout en maintenant l’accès aux informations sur le financement des campagnes.
Un audit antérieur avait soulevé des inquiétudes concernant la gestion des correctifs
Cette perturbation survient dans un contexte de difficultés de cybersécurité déjà documentées au sein de l’agence.
Un audit de juillet 2025 mené par l’inspection générale de la FEC a examiné l’efficacité des programmes de la commission en matière de correctifs de sécurité et de gestion des vulnérabilités.
L’audit a conclu que la FEC avait établi des politiques et procédures généralement efficaces et conformes aux recommandations fédérales applicables. Il a toutefois également relevé des points à améliorer, notamment les risques liés aux technologies obsolètes et la capacité de l’agence à remédier aux vulnérabilités.
Ces conclusions n’établissent pas qu’une vulnérabilité connue soit à l’origine de la panne actuelle.
John Bruggeman, directeur virtuel de la sécurité des systèmes d’information (vCISO) chez CBTS, a déclaré que l’audit fournissait un contexte important pour évaluer la réponse de l’agence.
« Beaucoup d’organisations considèrent ces éléments comme le strict minimum. Ce contexte est important ici : si la remédiation accusait déjà du retard avant cet incident, “nous avons corrigé la faille qui leur a permis d’entrer” offre un niveau de confiance inférieur à celui qu’on pourrait attendre d’une organisation dotée d’un programme mature et éprouvé », a déclaré Bruggeman dans des propos transmis à eSecurity Planet.
Cette distinction est importante, car corriger une faiblesse présumée ne permet pas à lui seul d’établir si un attaquant est entré dans un système ou s’il y a conservé un accès.
Pour les organisations qui gèrent des infrastructures anciennes, l’incident renforce l’importance d’une gestion efficace des correctifs et de la vérification régulière des contrôles de sécurité.
Des experts déconseillent de rétablir les systèmes sans éléments probants suffisants
La FEC subit des pressions pour rétablir rapidement le dépôt électronique, mais les experts en sécurité estiment que les décisions de reprise doivent dépendre de ce que les enquêteurs pourront établir au sujet de l’attaque signalée.
Bruggeman a déclaré que la première question était de savoir si l’activité suspecte avait été stoppée avant qu’une intrusion ne se produise.
« Je voudrais savoir si les journaux montrent que quelqu’un est effectivement entré ou si l’attaque a été bloquée au périmètre », a-t-il déclaré.
« Si elle a été bloquée, l’équipe doit vérifier que ces défenses tiennent lorsque le service reprendra. Si quelqu’un est entré, les enquêteurs doivent établir ce à quoi il a eu accès et confirmer que cet accès a été entièrement supprimé, et pas seulement que la vulnérabilité immédiate a été corrigée. »
Il s’est également interrogé sur la manière dont l’agence déterminerait à quel moment il serait possible de reprendre ses activités en toute sécurité.
« Qui a le pouvoir d’autoriser le redémarrage, et quels éléments cette personne exige-t-elle avant de donner son feu vert ? » a demandé Bruggeman.
Ces décisions ne se limitent pas à réparer une défaillance technique. Les enquêteurs doivent examiner l’intégrité des systèmes concernés, déterminer si un accès suspect persiste et définir quelle surveillance sera mise en place après le rétablissement.
Bruggeman a déclaré que les équipes n’avaient pas besoin d’obtenir une réponse à toutes les questions médico-légales avant de rouvrir un service, mais qu’elles devaient avoir suffisamment confiance pour reprendre les opérations en toute sécurité.
« Rouvrir trop tôt et devoir fermer une deuxième fois nuirait bien davantage à la confiance du public que de prendre un jour supplémentaire pour faire les choses correctement », a-t-il déclaré.
Le défi est familier aux organisations qui fournissent des services essentiels. Un récent incident de cybersécurité chez UNM Health a de la même manière montré comment des perturbations de sécurité peuvent imposer des décisions difficiles concernant la continuité des opérations.
Quelle sera la suite pour la FEC ?
Les priorités immédiates sont de rétablir le dépôt électronique, de préciser comment les organisations concernées doivent transmettre les déclarations obligatoires et de déterminer si la tentative d’intrusion signalée a entraîné un accès non autorisé.
L’agence n’a pas confirmé publiquement le vol de données, identifié un acteur malveillant ni fourni d’explication définitive de l’incident.
Pour les équipes de sécurité, la leçon plus générale est l’importance de préparer les procédures de reprise avant qu’une perturbation ne survienne. Un plan de réponse aux incidents efficace doit prévoir la préservation des éléments de preuve, le rétablissement des services, les procédures de fonctionnement alternatives et la communication avec les utilisateurs concernés.
Centrella a déclaré qu’une communication publique claire était particulièrement importante, car la panne concerne une agence fédérale liée aux élections.
« Les gens ne devraient pas avoir à interpréter eux-mêmes un incident informatique pour comprendre s’il affecte leur capacité à voter », a-t-il déclaré.
À l’approche du jour de l’élection, la FEC doit rétablir un service essentiel de déclaration sans compromettre sa sécurité. L’issue dépendra non seulement de la rapidité avec laquelle le système sera rétabli, mais aussi de la capacité de l’agence à démontrer que les nouvelles déclarations de financement des campagnes peuvent être transmises et rendues publiques de manière fiable.
Autres informations : les entreprises japonaises GMO Internet et Park24 indemnisent leurs clients à la suite de cyberattaques distinctes, GMO couvrant les pertes vérifiées liées à des opérations non autorisées et proposant des indemnisations supplémentaires pour les informations exposées, tandis que Park24 fait face à un coût estimé à 5,5 milliards de yens lié à la violation de données.