Le site des Républicains défacé à la veille du 17 octobre

Le site du parti Les Républicains (republicains.fr) a été défacé vendredi 16 octobre 2026 en milieu de matinée. La page d'accueil a été remplacée par un manifeste appelant à rejoindre « les mobilisations du 17 octobre pour révolutionner la France et le monde », sur fond de musique tirée de l'anime One Piece. Les auteurs revendiquent le vol des données du site et des adhérents — une affirmation non vérifiée à ce stade, qu'aucun échantillon ne vient étayer et que le parti dément.

Les faits sont rapportés par Franceinfo, Next et ICI.

Ce qui s'est passé

Selon Next, le défacement est apparu vers 11 h et la page légitime a été temporairement rétablie vers 11 h 45. La page détournée affichait un message s'ouvrant par « Ceci est un APPEL à rejoindre les mobilisations du 17 octobre », avec des rubriques (communiqué, revendications, action, playlist) et des visuels de responsables politiques — Emmanuel Macron, Marine Le Pen, Jordan Bardella, Bruno Retailleau, Raphaël Glucksmann — suivis d'explosions.

Ce que revendiquent les auteurs

Les auteurs écrivent : « Nous avons volé toutes les données de votre site et de vos membres », et menacent de transmettre ces données à des journalistes et médias d'investigation si le parti ne répond pas aux revendications ou retire leur appel avant le 20 octobre. Next note que ces données pourraient provenir de la base du site, hébergé sous WordPress, mais ne confirme pas la revendication : aucun échantillon n'a circulé. À ce stade, seule la compromission du frontal web est établie ; l'existence effective d'une base exfiltrée reste à prouver.

La réaction du parti

L'entourage de Bruno Retailleau annonce le dépôt d'une plainte et précise qu'il s'agit du site du parti, pas de la plateforme de campagne, et qu'« il n'y a pas de données sensibles sur ce site ». Le parti affirme qu'aucune donnée n'a fuité et que le site est désormais rétabli. Aucun groupe n'a signé l'attaque ; aucune attribution n'est avancée.

Que faire

Pour les opérateurs de sites politiques, associatifs ou médiatiques — cibles récurrentes de défacements à visée de communication :

1. Vérifier l'intégrité du socle et des comptes. Après un défacement, auditer wp_users (ou l'équivalent) par rapport à un état de référence, traquer les comptes administrateurs fantômes et les plugins ou thèmes modifiés.
2. Partir de l'hypothèse d'un accès initial persistant. Le rétablissement de la page d'accueil ne prouve pas l'éviction de l'attaquant. Rechercher web shells, tâches planifiées et accès suspects avant de considérer l'incident clos.
3. Préparer la notification CNIL. Même lorsqu'une fuite est seulement revendiquée, une suspicion d'exfiltration de données personnelles peut déclencher l'obligation de notification à 72 heures. Documenter l'analyse dès maintenant.
4. Rehausser le filtrage sur les surfaces exposées. /wp-json/, /xmlrpc.php et les endpoints d'authentification restent les vecteurs privilégiés ; activer le MFA sur la console d'administration.
5. Conserver les preuves. Journaux serveur, copie de la page détournée et éléments réseau : indispensables à l'enquête et au dépôt de plainte.

Contexte

L'attaque s'inscrit dans une série visant les plateformes politiques françaises. Elle survient trois mois après le défacement du site du Rassemblement national revendiqué par 84City, et une semaine après une tentative de déni de service contre la plateforme de vote de la primaire de gauche. Dans les trois cas, le même écart demeure : une compromission ou une perturbation confirmée d'un côté, une revendication de vol de données de l'autre, sans preuve indépendante. Il faut s'en tenir aux faits établis tant qu'un échantillon ou un rapport tiers ne tranche pas.