Les incidents de cybersécurité visant des institutions publiques se multiplient, et la Turquie n'échappe pas à la tendance. Dernier exemple en date : la municipalité métropolitaine d'Izmir, troisième ville du pays, a été touchée par une violation de données personnelles, officiellement signalée à la KVKK, l'autorité turque de protection des données (l'équivalent de la CNIL française).

Une alerte déclenchée par un volume d'e-mails anormal

dataic

Selon la notification transmise à l'autorité, l'incident a été détecté le 30 septembre 2026, lorsqu'un compte e-mail institutionnel a envoyé un volume d'messages anormalement élevé. Cette observation a permis de mettre au jour le processus de violation.

Les premières analyses techniques ont révélé un point notable : ni le système dans son ensemble ni le serveur de messagerie ne présentaient de faille de sécurité directe. Plutôt que d'exploiter une vulnérabilité du serveur, les attaquants se sont connectés au compte à l'aide d'un mot de passe valide qu'ils avaient volé au préalable.

Deux boîtes mail entièrement exfiltrées

L'enquête a établi que le contenu intégral des boîtes de réception de deux comptes compromis a été transféré hors de l'institution. Les attaquants ont également défini des règles automatiques supprimant les messages entrants, afin de masquer leurs traces.

Les comptes piratés ont en outre servi à envoyer du spam en masse, à modifier des paramètres de messagerie et à lire les échanges existants. L'un des détails les plus frappants de l'incident : des textes à visée frauduleuse ont été insérés dans le champ de signature des e-mails.

Quelles données sont concernées ?

D'après l'annonce, les types de données personnelles affectées sont le nom, le prénom, l'adresse e-mail et le numéro de téléphone interne. Le nombre de personnes touchées n'est pas encore connu ; l'examen de l'incident se poursuit.