Cybersécurité scolaire : urgence

Cybersécurité : l’Éducation nationale vulnérable face à une menace qui s’accélère

Il y a des sujets qu’on préfèrerait ne pas avoir à traiter. Celui-ci en fait partie. La cybersécurité : l’Éducation nationale vulnérable n’est plus une hypothèse de travail pour experts en col blanc : c’est une réalité documentée, chiffrée, et franchement inquiétante. Des données d’élèves exposées, des failles connues non corrigées, des jeunes qui pensent être informés mais tombent quand même dans les pièges les plus classiques. Bienvenue dans l’état réel de la sécurité numérique de nos établissements scolaires en 2025.

Dans cet article, on va décortiquer ce qui se passe vraiment : les incidents récents, les chiffres qui font froid dans le dos, ce que le ministère tente de faire, et surtout ce qui manque encore cruellement. Parce qu’entre les discours institutionnels et la réalité des serveurs, il y a souvent un gouffre. On va le traverser ensemble.

Des données d’élèves exposées : retour sur un incident qui aurait pu être évité

En 2025, l’Éducation nationale a subi une compromission ciblée qui a mis en lumière quelque chose d’encore plus gênant que l’attaque elle-même : la faille exploitée était connue en interne avant l’incident. Ce n’est pas une rumeur de couloir. C’est documenté.

Selon L’Usine Digitale, des données d’élèves ont été exposées après l’exploitation d’une vulnérabilité interne qui n’avait pas été corrigée. On parle de noms, de coordonnées, potentiellement d’informations bien plus sensibles selon les systèmes touchés. Le type de données qui, une fois dans la nature, ne revient jamais.

Pour comprendre l’ampleur du problème, voici une analogie simple : imaginez que votre banque sache depuis des mois qu’une serrure de coffre est défectueuse, mais décide de ne pas la réparer parce que « ça coûte cher » ou « ça prend du temps ». Quand le vol survient, on ne peut pas vraiment parler de malchance. C’est exactement ce schéma qui s’est reproduit ici.

Et ce n’est pas un cas isolé. Comme le détaille Solutions Numériques, il s’agit d’une compromission ciblée, ce qui signifie que les attaquants savaient précisément où frapper. Ce niveau de précision laisse supposer soit une reconnaissance préalable soignée, soit des informations obtenues par d’autres canaux. Dans les deux cas, la sophistication de l’attaque contraste cruellement avec la réactivité des équipes en charge de la sécurité.

Ce qui est particulièrement problématique, c’est la nature des victimes : des mineurs. Des enfants dont les données personnelles circulent désormais potentiellement sur des forums, des marchés noirs, ou dans des bases de données exploitées pour du phishing ciblé. Leurs parents n’ont souvent rien signé en sachant vraiment ce qu’ils signaient, et certainement pas pour que ces données se retrouvent exposées.

RGPD et protection des données : ce que la loi impose, ce que la réalité montre

Le Règlement général sur la protection des données (RGPD) s’applique à tous les organismes qui traitent des données personnelles de résidents européens, y compris les établissements scolaires. Sur le papier, les obligations sont claires : minimisation des données collectées, durées de conservation limitées, sécurité technique et organisationnelle appropriée, notification obligatoire en cas de violation.

Dans les faits, l’application de ces règles dans le milieu éducatif est… contrastée. On ne peut pas vraiment blâmer une école primaire rurale de ne pas avoir un délégué à la protection des données (DPO) à temps plein avec une équipe dédiée. Les ressources ne sont tout simplement pas là. Mais cet argument, légitime dans une certaine mesure, ne peut pas servir indéfiniment de bouclier contre la responsabilité.

Voici ce que le RGPD impose concrètement aux établissements, et où le bât blesse le plus souvent :

• La sécurité technique : chiffrement des données, gestion des accès, mises à jour régulières des systèmes. C’est précisément là que la faille exploitée en 2025 s’est glissée.
• La minimisation des données : ne collecter que ce qui est strictement nécessaire. Combien d’outils numériques utilisés dans les classes collectent bien plus que ce dont l’enseignant a besoin ?
• La transparence : informer les élèves et leurs parents sur l’usage de leurs données. Les fameux formulaires de consentement que personne ne lit vraiment.
• La notification en cas de violation : 72 heures pour prévenir la CNIL. Un délai qui suppose une détection rapide, ce qui n’est pas toujours au rendez-vous.

La protection des données étudiants dans l’éducation est un sujet qui mériterait un traitement budgétaire et organisationnel bien plus sérieux. Former un professeur de mathématiques à reconnaître une tentative de phishing est utile. Lui demander en plus de gérer la conformité RGPD de son établissement, c’est une autre histoire.

Ce que les élèves pensent savoir (et ce qu’ils ignorent vraiment)

En 2025, une enquête conduite par Cybermalveillance.gouv.fr auprès des élèves du cycle 3 (CM1, CM2, 6e) a livré des résultats à la fois encourageants et préoccupants. 70% des élèves interrogés se considèrent informés sur la cybersécurité. Un chiffre qui pourrait prêter à l’optimisme, si les comportements réels venaient le confirmer. Ce n’est pas le cas.

Selon les résultats détaillés de cette enquête nationale sur la connaissance de la cybersécurité, une proportion significative d’élèves a déjà été confrontée à des menaces numériques réelles : phishing, faux comptes, tentatives de manipulation en ligne. Beaucoup n’ont pas su les identifier comme telles sur le moment.

Ce paradoxe a un nom en psychologie cognitive : l’effet Dunning-Kruger. On se croit compétent parce qu’on a des notions de base, mais on n’a pas encore les connaissances nécessaires pour mesurer ce qu’on ne sait pas. Un élève de 10 ans qui sait qu’il ne faut « pas parler aux inconnus sur internet » peut très bien cliquer sur un lien de phishing sophistiqué sans réaliser ce qu’il fait.

Les menaces les plus fréquemment rencontrées par les jeunes selon les données disponibles :

• Le phishing : faux e-mails ou messages imitant des services connus (ENT, plateformes de jeux, réseaux sociaux) pour voler des identifiants.
• Le cyberharcèlement : moins visible dans les statistiques de « cyberattaques » mais massivement présent dans le vécu des élèves.
• Les faux concours et arnaques : « Tu as gagné un iPhone, clique ici » reste d’une efficacité redoutable auprès des 8-12 ans.
• Le vol de compte : souvent facilité par des mots de passe trop simples ou partagés entre camarades.

Le problème n’est pas que les jeunes sont stupides. Loin de là. Le problème, c’est que les attaquants sont professionnels et que la formation dispensée en classe reste souvent générale et déconnectée des situations concrètes que les enfants vivent réellement en ligne.

Ce que le ministère fait, et ce qui reste insuffisant

Soyons honnêtes : l’Éducation nationale n’est pas restée les bras croisés. Des efforts réels sont déployés, et il serait injuste de les ignorer. Mais il faut aussi appeler un chat un chat : les initiatives existantes ne sont pas à la hauteur de l’ampleur du problème.

Du côté des actions positives, le ministère a structuré une approche pédagogique autour de la cybersécurité. Comme présenté sur la page dédiée de l’Éducation nationale, des ressources sont mises à disposition des enseignants, des campagnes de sensibilisation sont organisées, notamment dans le cadre du Cybermois d’octobre, et des partenariats avec des acteurs comme Cybermalveillance.gouv.fr permettent de toucher un public plus large.

Des initiatives concrètes méritent d’être citées :

1. Le Cybermois : campagne nationale annuelle en octobre, avec des ressources pédagogiques adaptées à différents niveaux scolaires.
2. Les modules EMI : l’Éducation aux médias et à l’information intègre progressivement des notions de sécurité numérique dans les programmes.
3. Les référents numériques : des enseignants formés pour accompagner leurs collègues sur les usages numériques responsables.
4. Les partenariats avec Cybermalveillance.gouv.fr : pour des ressources validées et régulièrement mises à jour.

Mais voilà où le bât blesse. Ces initiatives souffrent de trois problèmes structurels majeurs.

Premier problème : la discontinuité pédagogique. Un atelier cybersécurité en octobre, c’est bien. Une séance par an sur le phishing, c’est mieux que rien. Mais ça ne crée pas les réflexes durables dont les élèves ont besoin. La cybersécurité s’apprend comme n’importe quelle compétence : par la répétition, la pratique et la mise en situation.

Deuxième problème : la formation des enseignants. On ne peut pas demander à un professeur de lettres d’expliquer comment fonctionne un ransomware s’il n’a lui-même jamais reçu de formation solide sur le sujet. La chaîne de transmission de la connaissance est fragilisée dès son premier maillon.

Troisième problème, et c’est peut-être le plus grave : le décalage entre les discours et les pratiques internes. Sensibiliser les élèves à la protection de leurs données pendant que des vulnérabilités connues restent non corrigées sur les serveurs qui hébergent ces mêmes données, c’est un message brouillé au mieux, contre-productif au pire.

Infrastructure scolaire : les angles morts de la sécurité numérique

Au-delà de la sensibilisation, il y a la question de l’infrastructure technique. Et là, le tableau est sombre.

Les établissements scolaires français gèrent aujourd’hui une quantité impressionnante de systèmes connectés : les Espaces Numériques de Travail (ENT), les outils de gestion des notes et des absences (Pronote et ses équivalents), les messageries internes, les plateformes de ressources pédagogiques, les connexions Wi-Fi, les tablettes et ordinateurs en classe… Chacun de ces points de contact est une surface d’attaque potentielle.

La réalité des établissements en termes de sécurité informatique ressemble souvent à ceci :

Ce tableau n’est pas une caricature. C’est la réalité que décrivent régulièrement les responsables informatiques académiques et les auditeurs spécialisés. Les directions des services informatiques académiques (DSI académiques) font ce qu’elles peuvent avec des moyens limités et une périmètre d’intervention immense. Un seul technicien peut être en charge de dizaines d’établissements. Dans ces conditions, la priorisation est inévitable, et la sécurité finit souvent en bas de liste.

Il faut aussi parler des outils tiers. Combien d’applications utilisées quotidiennement dans les classes sont hébergées sur des serveurs hors Union européenne ? Combien collectent des données comportementales sur les élèves sans que personne n’ait vraiment vérifié leur conformité RGPD ? La pression des EdTech (technologies éducatives) est forte, les offres sont séduisantes, et les établissements n’ont souvent ni le temps ni les compétences pour évaluer rigoureusement les risques associés.

Ce qu’il faudrait vraiment changer : des pistes concrètes

Critiquer sans proposer, c’est facile et inutile. Alors voilà ce qui permettrait concrètement d’améliorer la situation, à différentes échelles.

Au niveau national et ministériel :

• Créer un budget dédié et sanctuarisé pour la cybersécurité des infrastructures scolaires, avec des obligations de résultat mesurables.
• Imposer des audits de sécurité réguliers et obligatoires pour les systèmes hébergeant des données d’élèves.
• Établir une liste blanche d’outils numériques validés sur le plan de la sécurité et de la conformité RGPD, avec des mises à jour régulières.
• Renforcer les DSI académiques avec des ressources humaines et techniques adaptées à la réalité de leur périmètre.

Au niveau des établissements :

• Désigner un référent cybersécurité formé et reconnu dans chaque établissement, avec du temps dédié à cette mission.
• Implémenter une politique claire de gestion des mots de passe et d’authentification, avec une formation obligatoire pour tout le personnel.
• Tester régulièrement les sauvegardes et les plans de continuité, pas juste les rédiger.
• Limiter strictement l’usage d’outils non approuvés, même quand ils semblent pratiques.

Au niveau pédagogique :

• Intégrer la cybersécurité de manière transversale et continue dans les cursus, pas uniquement en octobre lors du Cybermois.
• Utiliser des mises en situation réelles et des simulations (faux e-mails de phishing à identifier, exercices de vérification de sources) plutôt que des cours théoriques.
• Former sérieusement les enseignants, avec des modules obligatoires dans la formation initiale et continue.
• Impliquer les élèves dans une démarche active : des « ambassadeurs cybersécurité » entre pairs peuvent être redoutablement efficaces.

La question de la souveraineté numérique mérite aussi d’être posée frontalement. Si les données de nos élèves sont hébergées sur des infrastructures contrôlées par des acteurs extra-européens, aucune politique de sensibilisation ne pourra compenser ce risque structurel. L’auto-hébergement ou le recours à des solutions souveraines européennes n’est pas une posture idéologique : c’est une question de maîtrise réelle de nos données les plus sensibles.

Conclusion : la cybersécurité à l’école, un chantier urgent qui concerne tout le monde

La cybersécurité : l’Éducation nationale vulnérable n’est pas un sujet réservé aux DSI académiques ou aux experts en sécurité informatique. C’est un sujet de société, qui touche directement des millions de familles, des centaines de milliers d’enseignants, et surtout des enfants qui n’ont pas choisi d’avoir leurs données dans des systèmes mal sécurisés.

Ce qui s’est passé avec la compromission récente n’est pas une anomalie : c’est un signal d’alarme dans un contexte où les cyberattaques contre le secteur éducatif sont en augmentation constante à l’échelle mondiale. Le secteur de l’éducation est une cible de choix : il concentre des données personnelles sensibles sur des mineurs, dispose généralement de moyens limités, et présente des surfaces d’attaque larges grâce à la multiplicité des systèmes connectés.

La bonne nouvelle, c’est que les solutions existent. Elles ne sont pas hors de portée. Elles demandent de la volonté politique, des moyens budgétaires adaptés, et une prise de conscience collective que la sécurité numérique n’est pas un luxe qu’on ajoute quand on a le temps : c’est une condition de base pour que le numérique éducatif soit réellement au service des élèves, et pas contre eux.

En attendant, si vous êtes parent : parlez à vos enfants de ce qu’ils font en ligne, vérifiez quels outils sont utilisés dans leur établissement, et n’hésitez pas à poser des questions au conseil d’école sur la politique de protection des données. Si vous êtes enseignant : vous n’avez pas à devenir expert en cybersécurité, mais quelques réflexes de base peuvent faire une vraie différence. Et si vous êtes décideur dans l’éducation : les données vous ont maintenant été présentées. Le prochain incident ne sera pas une surprise.