De fin décembre 2025 à début janvier 2026, La Poste a subi l’attaque par déni de service la plus forte de son histoire. Hicham Benabdallah, directeur des systèmes d’information (DSI) de la BSCC, revient sur cet événement inédit. Il nous explique également pourquoi la BSCC doit composer avec ce risque et comment elle se prépare en permanence à y faire face. Échanges.
Pouvez-vous revenir sur la cyberattaque que La Poste a subie en fin d’année ?
Tout à fait. Il s’agit d’une offensive sans précédent par sa volumétrie, sa durée et sa sophistication. C’est une attaque par déni de service, de type DDoS*. Cela signifie que les pirates dirigeaient plusieurs milliards de tentatives de connexion par seconde vers nos systèmes d’information afin de bloquer les accès à notre site internet. Elles étaient envoyées depuis plusieurs millions d’ordinateurs zombies ou d’objets connectés dont les hackers avaient pris le contrôle à distance. Ils cherchaient à repérer une faille pour entrer dans nos systèmes. Même s’ils ont changé à plusieurs reprises de protocole d’attaque pour y parvenir, leurs tentatives sont restées vaines. Nous n’avons donc subi ni demande de rançon, ni vol de données. Certes, nos communications avec nos clients ont été perturbées mais les facteurs sont partis en tournée munis de leur Facteo. La BSCC a distribué 5,5 millions de colis entre le 22 décembre et le 24 décembre. Nous avons fait front.
Avec trois mois de recul, quels enseignements tirez-vous de cette attaque ?
Le premier est la formidable mobilisation des équipes. Nos 400 spécialistes cyber se sont impliqués à 200 % pour rétablir les services postaux. Leur engagement est d’autant plus remarquable que nombre d’entre eux avaient prévu des congés et des fêtes en famille. Nous sommes convaincus que les pirates avaient volontairement choisi la période de Noël pour cibler La Poste et, à travers elle, la France. Au-delà de nos experts, toutes les postières et tous les postiers de la BSCC ont répondu présent, en particulier les factrices et les facteurs qui ont assuré la distribution des colis attendus malgré des conditions perturbées. Un grand bravo à toutes et tous !
Le deuxième enseignement tient à la résilience de notre système d’information. Les cybertrafiquants sont restés à la porte de notre SI, qui n’a montré aucune faille. Tenir bon face à une agression d’une telle virulence témoigne de la pertinence de nos choix technologiques et de l’efficacité de notre démarche de cybersécurité.
Est-il possible d’éviter qu’un tel scénario se reproduise ?
Malheureusement non. Le risque zéro n’existe pas – ou en tout cas plus. La Poste a subi 7 500 attaques en 2025. En 2026, elles gagneront probablement en nombre, en puissance et en intensité. Nous devons être prêts en permanence. Pour cela, nous agissons à trois niveaux. La détection des incidents, d’abord, est assurée par notre Service de Lutte Contre la Cybercriminalité (SLCC). La protection, ensuite, que la DSI s’efforce de rendre aussi robuste que possible, avec des sujets sensibles tels que la sécurisation de tous les postes de travail, la gestion des mots de passe et des identités. Nous veillons également à ce que notre SI soit à l’état de l’art pour résister aux attaques. Les postières et les postiers de la BSCC ont un rôle important à jouer. Chacun doit protéger avec la plus grande vigilance son ordinateur et/ou son Facteo afin de ne pas ouvrir d’accès aux pirates. J’en viens au troisième niveau de la cybersécurité : la réaction. Si une attaque survient, nous devons savoir nous défendre et riposter. Telle est l’ambition de notre programme de cyber-résilience qui monte en puissance depuis deux ans.
* DDoS pour Distributed Denial of Service en anglais, attaque en déni de service distribué en français
« Toutes les postières et tous les postiers de la BSCC ont répondu présent, en particulier les factrices et les facteurs qui ont assuré la distribution des colis attendus pour Noël dans des conditions perturbées. »
Chiffre clé
400 : c’est le nombre de spécialistes cybersécurité de notre réseau interne mobilisés pour nous prémunir d’une crise cyber et nous défendre si elle survient.