Mercredi 21 octobre, en milieu d'après-midi, l'usager mahorais qui voulait déclarer une naissance à la Caf, suivre un remboursement sur ameli ou prendre rendez-vous en préfecture tombait sur le même écran blanc, avec la mention « maintenance en cours » ou « ce site est inaccessible ». Le lendemain, la Caisse de sécurité sociale de Mayotte ajoutait un détail que personne n'avait vu venir. Ses lignes téléphoniques étaient elles aussi coupées, « jusqu'à nouvel ordre », et seuls les accueils physiques restaient ouverts.
Selon Mayotte la 1ère, le ministère de l'Intérieur a placé en maintenance l'ensemble des sites des préfectures du pays, à la demande de l'Agence nationale de la sécurité des systèmes d'information, après l'annonce d'une « vulnérabilité critique de sécurité » dans un composant logiciel utilisé partout dans le monde. Le site des impôts et celui de Météo-France ont été touchés de la même façon. Le Journal de Mayotte précise qu'il s'agit de deux failles du langage PHP, baptisées « PHP2Shell », qui permettraient de prendre la main sur un serveur sans mot de passe. Les développeurs ont publié des versions corrigées dès le 21 octobre. Le journal note aussi que le lien direct entre ces failles et les coupures constatées à Mayotte n'avait pas été officiellement établi au moment de sa parution.
Fermer un site menacé était sans doute la bonne décision. On ne laisse pas ouvert un serveur qui détient des dossiers d'allocataires quand une faille permet d'y entrer sans clé. Ce que cette semaine apprend aux Mahorais se lit dans le communiqué de la CSSM elle-même, puisque le téléphone de la caisse s'est éteint en même temps que ses sites.
Le guichet, seule porte encore ouverte
À Mayotte, une coupure de deux jours des sites sociaux déplace d'un coup tout le flux vers les agences, dans une île où les agences sont peu nombreuses et où se déplacer jusqu'à Mamoudzou prend souvent une demi-journée à qui n'a pas de voiture. Un assuré du sud de l'île qui voulait poser une question sur ses droits jeudi n'avait plus de numéro à composer, et il lui restait la route. Le communiqué de la CSSM ne disait pas combien de temps durerait la coupure, ni quelles démarches pouvaient attendre sans pénalité.
Ce même jeudi 22 octobre s'ouvrait à la Technopole de Dembéni la première édition locale du CyberDay, organisée par l'Observatoire de la cybersécurité de l'océan Indien, Mayotte in Tech et La French Tech Mayotte. Son président, Shafiq Mohamed, y regrettait que la prise de conscience collective « ne progresse pas encore aussi vite que le niveau de sophistication des attaques ». Mohamed El Anjilani, qui dirige une entreprise de services numériques installée dans l'île depuis près de vingt ans, résumait la situation des petites structures : « Les entreprises n'ont pas forcément les ressources humaines et budgétaires pour tout barricader. »
Ce constat vaut pour le tissu économique mahorais, fait surtout de très petites entreprises, d'artisans et d'associations qui n'ont pas de responsable informatique. Il vaut aussi pour les administrations locales. Une mairie de l'intérieur de l'île, un centre communal d'action sociale ou un collège hébergent des données sensibles avec des équipes réduites, et c'est souvent un prestataire extérieur qui fait les mises à jour quand il en a le temps.
Un standard qui s'éteint avec le portail
L'État et les caisses doivent maintenant aux usagers mahorais un compte rendu aussi rapide que la coupure. La CSSM devrait publier la durée exacte de l'interruption de chacun de ses services, en ligne et par téléphone, et dire pourquoi sa téléphonie dépendait de la même infrastructure que ses sites. Ce standard muet a privé de tout recours les assurés qui n'ont pas d'ordinateur, c'est-à-dire précisément ceux que la caisse doit le plus protéger.
La caisse peut aussi prendre une mesure d'équité simple. Toute démarche dont l'échéance tombait pendant la coupure, qu'il s'agisse d'une déclaration trimestrielle, d'une pièce justificative ou d'une demande d'aide, devrait être reportée d'office du nombre de jours perdus, sans que l'usager ait à le demander. La préfecture pourrait appliquer la même règle aux rendez-vous en ligne annulés pour les titres de séjour et les permis de conduire. Il serait aussi utile qu'elle informe par la radio et par SMS quand son site redevient accessible, puisqu'une partie du public ne consulte pas Facebook.
À plus long terme, la leçon concerne la dépendance de Mayotte à des services conçus ailleurs. Les failles de PHP n'ont pas été découvertes à Mamoudzou et le correctif n'y a pas été écrit. Ce qui se décide localement, en revanche, c'est la manière de continuer à servir le public quand les écrans se ferment. Un numéro de secours distinct, un affichage dans les agences et une consigne claire donnée aux mairies relais coûteraient peu et éviteraient que chaque alerte nationale se transforme en file d'attente devant les agences de Mamoudzou.
Les acteurs réunis à Dembéni ont travaillé vendredi sur des scénarios de crise. Les institutions mahoraises viennent d'en traverser un en conditions réelles. La CSSM et la préfecture peuvent en publier le bilan avant le 6 novembre, soit deux semaines après la coupure, avec le nombre d'usagers reçus aux guichets pendant ces journées et la liste des démarches reportées.
Sources
- CSSM, préfecture de Mayotte… Une faille de sécurité mondiale paralyse de nombreux sites internet — Mayotte la 1ère
- La CSSM touché par un incident de sécurité informatique — Le Journal de Mayotte
- Alerte informatique : des sites administratifs inaccessibles à Mayotte sur fond de menace mondiale — Le Journal de Mayotte
- CyberDay 2026 : face à l’explosion des menaces, Mayotte s’organise pour bâtir sa résilience informatique — Le Journal de Mayotte
- Cyber Day Mayotte 2026 : deux jours pour renforcer la résilience numérique du territoire — Mayotte Hebdo
