Les cyberattaques contre l’Éducation nationale ont pris une ampleur considérable. Dans son nouveau rapport publié en novembre 2026, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) révèle que 25 des 30 académies françaises ont été visées par des incidents de sécurité entre juillet et septembre 2026. Des pirates sont parvenus à accéder à plusieurs services du ministère, à dérober des données et, dans certains cas, à progresser vers d’autres systèmes informatiques de l’État.
Ce bilan officiel permet de mesurer l’étendue d’une série d’attaques qui avait notamment perturbé la préparation de la rentrée scolaire. Derrière les difficultés rencontrées par les académies de Nantes et de Toulouse, particulièrement médiatisées cet été, l’ANSSI décrit une menace bien plus large, affectant la quasi-totalité des académies françaises.
25 académies sur 30 visées en seulement trois mois
Le chiffre est particulièrement important. Selon le rapport REACTIV d’octobre 2026, le ministère de l’Éducation nationale a signalé des incidents de sécurité concernant 25 des 30 académies françaises entre juillet et septembre.
Autrement dit, plus de 83 % des académies ont été concernées par des incidents durant cette période. L’ANSSI précise que les conséquences opérationnelles ont été de gravité variable selon les entités.
Ce chiffre ne signifie pas que les 25 académies ont toutes subi un vol de données ou que leurs systèmes informatiques ont tous été entièrement compromis. Il révèle néanmoins l’étendue exceptionnelle des incidents recensés au sein d’un même ministère.
Les investigations ont notamment mis en évidence des déplacements latéraux des attaquants à travers différents environnements informatiques et des exfiltrations de données.
Des pirates capables de progresser vers d’autres services de l’État
L’un des éléments les plus préoccupants du rapport concerne la manière dont les attaquants ont exploité leurs premiers accès.
Selon l’ANSSI, les investigations ont permis d’identifier un mode opératoire répétitif : les pirates obtenaient des identifiants de connexion valides, exploitaient des comptes disposant de privilèges élevés, puis recherchaient de nouveaux accès afin de poursuivre leur progression.
Cette méthode leur a permis d’atteindre plusieurs services nationaux déconcentrés et d’exfiltrer différentes catégories de données, notamment des annuaires, des bases applicatives et des boîtes aux lettres électroniques.
Plus inquiétant encore, l’ANSSI évoque des mouvements latéraux vers d’autres entités au travers du Réseau interministériel de l’État (RIE). Cette infrastructure permet notamment les échanges informatiques entre différentes administrations françaises.
Les compromissions de l’Éducation nationale ont ainsi pu servir de point d’appui à des attaques dépassant le seul périmètre du ministère. Dans son rapport consacré aux cyberattaques contre la Direction générale des finances publiques (DGFiP), l’ANSSI avait déjà identifié des déplacements latéraux depuis l’environnement informatique de l’Éducation nationale.
Cette dimension interministérielle souligne le risque qu’une compromission initialement limitée à une administration puisse permettre à des attaquants d’atteindre d’autres services publics.
Des annuaires, des bases de données et des messageries exfiltrés
L’ANSSI confirme également que les attaques ne se sont pas limitées à des tentatives d’accès ou à des interruptions de services.
Des données ont effectivement été exfiltrées à partir de plusieurs environnements informatiques. Le rapport cite notamment des annuaires, des bases applicatives et des contenus de boîtes aux lettres.
Ces informations peuvent représenter une ressource importante pour des cybercriminels. Les annuaires professionnels permettent d’identifier des agents et leurs fonctions, tandis que les messageries peuvent contenir des échanges internes et des informations exploitables pour préparer de nouvelles attaques.
Le rapport ne fournit toutefois pas de bilan chiffré global des personnes dont les informations auraient été dérobées dans l’ensemble des académies concernées. Il ne permet pas non plus de déterminer précisément combien d’élèves, d’enseignants ou de personnels administratifs figurent dans les données exfiltrées.
Nantes et Toulouse, deux académies particulièrement perturbées
Les conséquences de ces attaques avaient été particulièrement visibles à la fin du mois d’août, à quelques jours de la rentrée scolaire.
Le ministère de l’Éducation nationale avait annoncé que les services informatiques fonctionnaient normalement dans 28 des 30 académies, tandis que Nantes et Toulouse connaissaient encore d’importantes restrictions d’accès.
À Toulouse, les messageries et plusieurs applications professionnelles étaient restées inaccessibles. À Nantes, l’accès aux messageries demeurait partiel et plusieurs services devaient être rétablis progressivement.
Ces restrictions avaient notamment nécessité le recours à des procédures alternatives pour assurer certaines opérations administratives et communiquer les emplois du temps aux familles.
Dans son nouveau bilan, l’ANSSI précise que les opérations de remédiation ont permis la réinitialisation des comptes et la réouverture progressive de services, en fonction des priorités de gestion.
L’ANSSI mobilisée pour sécuriser les systèmes informatiques
Face à l’ampleur des incidents, un plan de remédiation a été élaboré avec l’ANSSI pendant l’été 2026. Son objectif est de renforcer durablement la sécurité informatique des académies et de limiter les possibilités de nouvelles compromissions.
Les dernières opérations portent notamment sur le durcissement des accès d’administration, le renforcement de la surveillance des flux de données et la sécurisation de certaines applications.
L’ANSSI indique par ailleurs qu’aucune nouvelle violation de données concernant ce périmètre n’a été constatée depuis la publication de son précédent rapport, daté du 30 septembre 2026.
Cette absence de nouvelle violation constatée constitue un signal encourageant, mais elle ne signifie pas que tous les travaux de sécurisation sont terminés.
Une crise qui dépasse les seules académies
Les révélations de l’ANSSI mettent en évidence une crise de cybersécurité majeure au sein de l’Éducation nationale. En quelques mois, des incidents ont concerné 25 académies, des données ont été exfiltrées et des attaquants ont pu exploiter certaines compromissions pour progresser vers d’autres environnements de l’État.
Au-delà des perturbations observées pendant la rentrée scolaire, cette affaire soulève des questions sur la protection des comptes à privilèges, le cloisonnement des systèmes et la capacité des administrations à détecter rapidement les activités malveillantes.
Le ministère n’a pas rendu public, dans ce bilan, le nombre total de personnes concernées par les exfiltrations ni la liste détaillée des 25 académies visées.
Si l’ANSSI indique qu’aucune nouvelle violation n’a été constatée depuis son précédent point de situation, l’étendue des incidents survenus pendant l’été 2026 demeure particulièrement préoccupante. Elle montre surtout qu’une cyberattaque contre une administration peut avoir des conséquences bien au-delà du système initialement compromis.