L’essentiel en huit faits datés
- 10 octobre 2025 : cyberattaque contre le système d’information des lycées des Hauts-de-France, propriété de la Région. Consigne aux établissements : éteindre les ordinateurs et ne pas les rallumer.
- 17 octobre 2025 : personnels et familles informés qu’un accès non autorisé à des données personnelles a eu lieu et que des fuites sont probables dans certains établissements.
- 31 octobre 2025 : remise en état des outils administratifs finalisée dans la quasi-totalité des 269 lycées publics. Le pédagogique, lui, ne fait que commencer.
- 20 novembre 2025 : en séance plénière, la Région annonce 70 000 ordinateurs pédagogiques traités sur 100 000, 250 000 comptes réactivés, accès Internet rétabli à plus de 50 %. Refus affiché de payer la rançon.
- Mai 2026 : deux décrets adaptent les conditions du baccalauréat technologique et des spécialités « sciences de l’ingénieur » et « numérique et sciences informatiques », faute de pouvoir garantir les épreuves informatisées.
- 25 juillet 2026 : intrusion nationale, cette fois chez le ministère, par usurpation d’un compte professionnel, dans le système d’information dédié à la formation des personnels.
- 18 août 2026 : le groupe ZeroBytes, déjà rencontré à la DGFiP et chez SFR, met en vente ce qu’il présente comme 346 millions de lignes. Chiffre non vérifié.
- 31 août 2026 : le ministère publie son point de situation. 28 académies sur 30 rétablies ; Toulouse et Nantes en mode dégradé à la rentrée.
Ce que le ministère a publié la veille de la rentrée
Le communiqué du 31 août est court et précis, ce qui est rare dans ce genre d’exercice. Par mesure de sécurité, l’ensemble des accès aux services et aux applications a été réinitialisé — opération de précaution conduite, écrit le ministère, « sans dégât sur les systèmes ». Dans 28 académies sur 30, les applications sont accessibles normalement, les environnements numériques de travail et les logiciels de vie scolaire comme Pronote fonctionnent dans des conditions habituelles. Restent deux exceptions. Dans l’académie de Toulouse, les accès aux messageries et aux applications professionnelles « restent coupés jusqu’à nouvel ordre » ; les familles n’ont pas accès aux ENT et les emplois du temps ont été communiqués aux élèves en format papier. Dans l’académie de Nantes, seul un accès partiel aux messageries est possible, « en fonction des appareils et des configurations utilisées », et l’accès des familles aux ENT est suspendu. Dans les deux cas, le ministère précise que le versement de la paie sera assuré dans les délais usuels — une phrase qui en dit long sur ce qui inquiète en premier les personnels d’un système d’information touché. L’origine est documentée depuis le 31 juillet. L’accès frauduleux a été réalisé dans la nuit du 25 juillet 2026, à la suite de l’usurpation d’un compte professionnel, et a visé le système d’information dédié à la formation des personnels. Le centre opérationnel de sécurité du ministère en a été alerté dès le 26 juillet ; l’accès externe au système a été suspendu dans les heures qui ont suivi. Les données susceptibles d’avoir été exfiltrées concernent les agents ayant exercé en académie depuis 2001 : éléments d’identité, statut et fonctions, et pour une partie d’entre eux coordonnées postales, numéro de téléphone et numéro de sécurité sociale. Ni données bancaires, ni mots de passe, ni données d’élèves, précise le ministère, qui a déposé plainte et saisi l’ANSSI et la CNIL.Le précédent régional : onze mois, 100 000 postes, et un baccalauréat modifié par décret
Le 10 octobre 2025, une cyberattaque vise le système d’information des lycées des Hauts-de-France. La Région et les autorités académiques activent une cellule de crise conjointe. La consigne donnée aux établissements, sur recommandation de l’ANSSI, de prestataires, d’experts internes et de la gendarmerie, est brutale dans sa simplicité : ne pas utiliser les ordinateurs et les maintenir éteints, pour éviter toute propagation. Une plainte est déposée auprès de la gendarmerie nationale. Aucun détail technique n’est communiqué pour ne pas compromettre l’enquête. La suite se lit dans les communiqués successifs. Le 31 octobre, après une mobilisation qui a mangé les deux semaines de congés scolaires, la Région annonce la finalisation de la remise en état des outils administratifs dans la quasi-totalité des 269 lycées publics — et seulement des outils administratifs. La partie pédagogique commence alors : tests dans des établissements pilotes, remise en service progressive par lots. Le 20 novembre, devant le conseil régional, le vice-président chargé des lycées donne les chiffres : plus de 99 % des postes administratifs traités, 70 000 ordinateurs pédagogiques sur 100 000, 250 000 comptes utilisateurs réactivés, accès Internet rétabli à plus de 50 %. Six semaines après l’attaque, un tiers du parc pédagogique attend encore.« Ce n’est ni la première ni la dernière fois que nous subirons ce type de cyberattaques. » — Xavier Bertrand, président de la Région Hauts-de-France, séance plénière du 20 novembre 2025, rapportée par INCYBER.La conséquence la plus spectaculaire n’arrive qu’au printemps. En mai 2026, le ministère publie deux décrets qui modifient les conditions d’obtention du baccalauréat pour la session 2026, « compte tenu de la cyberattaque survenue le 10 octobre 2025 et de ses conséquences sur les systèmes d’information des lycées publics de la région Hauts-de-France ». En cas d’impossibilité matérielle de subir une épreuve ou une partie d’épreuve d’un enseignement de spécialité, la note peut résulter de la moyenne annuelle du candidat ; en STI2D, l’épreuve terminale peut se réduire à sa seule partie écrite. Sept mois après l’attaque, un incident informatique modifiait encore la manière dont on obtient un diplôme national.
| Jalon | Date | Délai depuis l’attaque |
|---|---|---|
| Attaque, arrêt des postes | 10 octobre 2025 | J |
| Information des personnels et familles sur la fuite probable | 17 octobre 2025 | +7 jours |
| Outils administratifs rétablis dans la quasi-totalité des 269 lycées | 31 octobre 2025 | +3 semaines |
| 70 000 postes pédagogiques traités sur 100 000 | 20 novembre 2025 | +6 semaines |
| Décrets adaptant les épreuves du baccalauréat 2026 | mai 2026 | +7 mois |
Chronologie établie à partir des communiqués de la Région Hauts-de-France, de l’académie de Lille et du compte rendu de la séance plénière du 20 novembre 2025. Le rapprochement de ces jalons en une seule échelle de délais est de notre fait.
Deux attaques, deux propriétaires, une seule salle de classe
C’est le point que la couverture nationale n’a pas posé, et il est décisif pour comprendre pourquoi un établissement peut être touché deux fois sans que ce soit la même défaillance. Dans un lycée public, l’informatique a deux propriétaires distincts. Les équipements et le réseau des lycées relèvent de la Région, collectivité de rattachement ; les applications métier, les messageries académiques et les systèmes d’information de gestion des personnels relèvent du ministère et de ses rectorats. L’attaque d’octobre 2025 a frappé le premier périmètre. Celle de juillet 2026 a frappé le second.| Attaque du 10 octobre 2025 | Attaque du 25 juillet 2026 | |
|---|---|---|
| Cible | Système d’information des lycées | Système d’information de formation des personnels |
| Responsable du système | Région Hauts-de-France | Ministère de l’Éducation nationale |
| Périmètre géographique | Lycées publics des Hauts-de-France | National |
| Vecteur publié | Non communiqué (enquête gendarmerie) | Usurpation d’un compte professionnel |
| Personnes concernées | Élèves, familles, personnels des établissements touchés | Agents ayant exercé en académie depuis 2001 |
| Autorités saisies | Gendarmerie, CNIL | Plainte, ANSSI, CNIL |
Lecture : deux incidents, deux responsables de traitement, un même utilisateur final. Un professeur des Hauts-de-France a pu subir les deux, sans qu’aucune des deux organisations n’ait failli sur le périmètre de l’autre.
Cette dualité a une traduction très concrète pour une entreprise. Un dirigeant qui dit « nous avons été attaqués » désigne en réalité un périmètre parmi plusieurs : son propre parc, l’infrastructure de son hébergeur, l’outil métier de son éditeur, la messagerie de son prestataire. Chacun a son responsable, son délai de rétablissement et son obligation de notification. Savoir lequel a été touché est la première question à poser, avant même de savoir comment. Nous avons déjà décrit deux configurations de ce type cette année : l’export client quotidien confié à un prestataire, angle mort de cinq fuites françaises en une matinée, et la fuite BlgCloud, où les clients d’un éditeur ont découvert leurs documents publiés sans avoir eux-mêmes été attaqués.Le troisième effet, celui que personne ne budgète : la rumeur
Quelques jours avant la rentrée, des vidéos publiées sur TikTok, cumulant plusieurs centaines de milliers de vues, ont affirmé que la rentrée scolaire serait reportée à cause de la cyberattaque. Le ministère a dû démentir formellement : la rentrée n’est pas décalée, les élèves reprennent le mardi 1er septembre. Selon la vérification publiée par franceinfo, plusieurs de ces contenus étaient générés par intelligence artificielle et dérivés d’une vidéo légitime d’un média en ligne intitulée « La rentrée 2026 perturbée à cause de la cyberattaque », transformée en « rentrée décalée ». Le mécanisme mérite d’être nommé, parce qu’il se reproduira. Un incident réel crée un vide d’information : les canaux habituels sont précisément ceux qui sont coupés — messagerie, ENT, intranet. Ce vide est comblé par des contenus fabriqués, désormais produits en quelques minutes, et d’autant plus crédibles qu’ils s’appuient sur un fait authentique. La victime doit alors mener deux batailles : rétablir ses systèmes, et démentir ce qu’on raconte à sa place, sans disposer de ses propres canaux pour le faire. C’est l’exacte prolongation de ce que nous écrivions à propos du filigrane des textes générés par IA, déjà contourné, et de la campagne de deepfakes documentée en août.Ce que revendique l’attaquant, et pourquoi nous ne reprenons pas son chiffre
Le 18 août 2026, un compte se présentant comme ZeroBytes a mis en vente sur un forum criminel ce qu’il décrit comme une partie de la base du ministère : 346 178 591 lignes brutes, réparties sur environ 2 500 fichiers et 43 gigaoctets. Des comptes de veille ont ajouté des décomptes d’identifiants. Le ministère, lui, a confirmé l’intrusion mais pas l’ampleur de la fuite alléguée, et ses investigations se poursuivent. Un chiffre de « lignes brutes » n’est pas un nombre de personnes. Une base d’historique de formation depuis 2001 contient plusieurs lignes par agent et par année, des tables techniques, des doublons et des journaux. Le rapport entre le volume annoncé et le nombre réel de personnes concernées peut être d’un ordre de grandeur ou davantage. Nous publions donc la revendication comme une revendication, et le périmètre confirmé comme le seul fait établi. C’est la même règle que nous avons appliquée à la fuite Alaxione en août : le chiffre de l’attaquant est une donnée sur l’attaquant, pas sur la victime.Ce que ça coûte vraiment : la facture est un renouvellement de parc
Le poste de dépense le plus important, dans le dossier régional, n’est pas la semaine de crise. Selon France 3 Hauts-de-France, la Région a voté le 11 décembre 2025 une enveloppe de 22,5 millions d’euros pour sécuriser les systèmes d’information de ses établissements, répartie entre 3,5 millions pour la gestion de crise, 13 millions pour remplacer 30 000 ordinateurs incompatibles avec Windows 11 et 6 millions pour renforcer la sécurité. Nous n’avons pas pu consulter la délibération elle-même ; le détail est publié tel que rapporté par ce média, et reste à confirmer auprès de la Région. La ventilation, si elle se confirme, dit l’essentiel : plus de la moitié de la facture est du matériel qu’il aurait de toute façon fallu changer. L’incident n’a pas créé la dépense, il a supprimé le délai. Un parc vieillissant est une dette technique tant qu’il fonctionne ; le jour où il faut tout reconstruire, il devient une dépense immédiate et non arbitrable. C’est exactement le raisonnement que nous exposions fin juillet à propos de la flambée du prix de la mémoire vive : le calendrier de renouvellement d’un parc informatique n’est pas un sujet d’intendance, c’est une variable de résilience.| Poste | Montant annoncé | Nature |
|---|---|---|
| Gestion de crise | 3,5 M€ | Dépense subie, non récupérable |
| Remplacement de 30 000 ordinateurs incompatibles Windows 11 | 13 M€ | Dépense anticipée, valeur d’usage conservée |
| Renforcement de la sécurité des systèmes | 6 M€ | Investissement durable |
| Total | 22,5 M€ |
Ventilation rapportée par France 3 Hauts-de-France (11 décembre 2025). La colonne « nature » est notre lecture, pas celle de la collectivité. La délibération n’a pas été consultée de première main.
Sept enseignements transposables à une PME des Hauts-de-France
Les deux dossiers, régional et national, ne se ressemblent ni par la cible ni par le vecteur. Ils convergent pourtant sur des points qui n’ont rien de spécifique à l’éducation.- Sept enseignements transposables
Ce que nous ne savons pas
Six zones d’ombre, publiées plutôt que contournées
- L’état exact des systèmes des académies de Lille et d’Amiens au 2 septembre 2026 : le communiqué ministériel ne nomme que Toulouse et Nantes, ce qui range implicitement les deux académies régionales parmi les 28 rétablies, sans le dire.
- Le vecteur technique de l’attaque d’octobre 2025 : jamais communiqué officiellement, l’enquête de la gendarmerie étant en cours. L’attribution à une famille de rançongiciel circule dans la presse spécialisée sans confirmation de la Région.
- Le nombre réel de personnes concernées par l’exfiltration de juillet 2026 : les investigations du ministère se poursuivent.
- L’exécution de l’enveloppe de 22,5 M€ : combien d’ordinateurs effectivement remplacés à ce jour, et sur quel exercice budgétaire.
- Le nombre d’élèves des Hauts-de-France ayant passé une épreuve du baccalauréat 2026 sous le régime dérogatoire des décrets de mai.
- Ni la Région, ni les rectorats de Lille et d’Amiens, ni le ministère n’ont été sollicités dans le cadre de ce papier. Les éléments proviennent exclusivement de sources publiées.
Questions fréquentes
Les académies de Lille et d’Amiens sont-elles touchées par la cyberattaque de juillet 2026 ?
Le communiqué ministériel du 31 août 2026 indique que dans 28 académies sur 30, les applications sont accessibles normalement, et ne nomme que Toulouse et Nantes comme restant en difficulté. Lille et Amiens figurent donc, par déduction, parmi les académies rétablies — le ministère ne les cite pas nommément. En revanche, les deux académies ont été durement touchées par un incident distinct, celui du 10 octobre 2025, qui visait le système d’information des lycées relevant de la Région.
Qui est responsable de l’informatique d’un lycée public : la Région ou l’État ?
Les deux, sur des périmètres différents. Les équipements et le réseau des lycées relèvent de la Région, collectivité de rattachement. Les messageries académiques, les applications métier et les systèmes d’information de gestion des personnels relèvent du ministère et des rectorats. L’attaque d’octobre 2025 a visé le premier périmètre, celle de juillet 2026 le second.
Les données des élèves ont-elles été volées lors de l’attaque nationale de juillet 2026 ?
Le ministère indique que le système d’information concerné, dédié à la formation des personnels, ne contient ni données bancaires, ni mots de passe, ni données relatives aux élèves. Les données susceptibles d’avoir été exfiltrées concernent les agents ayant exercé en académie depuis 2001. Les investigations se poursuivent pour établir le périmètre exact.
Faut-il croire le chiffre de 346 millions de lignes annoncé par les attaquants ?
C’est une revendication, mise en ligne le 18 août 2026 sur un forum criminel, et non un décompte vérifié. Un nombre de lignes brutes n’est pas un nombre de personnes : une base d’historique contient plusieurs lignes par agent, des tables techniques et des doublons. Le ministère a confirmé l’intrusion mais pas l’ampleur alléguée.
Combien de temps met une organisation à se remettre d’une attaque de ce type ?
Le seul cas français documenté publiquement de bout en bout est celui des lycées des Hauts-de-France : trois semaines pour rétablir les outils administratifs dans la quasi-totalité des 269 lycées publics, six semaines pour traiter 70 000 postes pédagogiques sur 100 000, et des effets réglementaires encore visibles sept mois après, avec les décrets de mai 2026 adaptant les épreuves du baccalauréat.
Le point d’étape que nous nous engageons à faire
Deux échéances méritent d’être suivies. D’une part, la date à laquelle les académies de Toulouse et de Nantes retrouveront des messageries professionnelles et un accès des familles aux environnements numériques de travail : le communiqué du 31 août ne fixe aucun horizon. D’autre part, l’exécution de l’enveloppe régionale de 22,5 millions d’euros, et notamment le nombre d’ordinateurs effectivement remplacés dans les lycées des Hauts-de-France. Nous y reviendrons à la fin du premier trimestre scolaire.Sources
Sources consultées le 2 septembre 2026.
- Ministère de l’Éducation nationale — Cyberattaques : point de situation à l’approche de la rentrée (31/08/2026)
- Ministère de l’Éducation nationale — Incident de sécurité affectant les données de personnels (31/07/2026)
- Région Hauts-de-France — Point de situation au 31 octobre 2025
- Région Hauts-de-France — Premier point de situation
- Académie de Lille — Cyberattaque contre le système d’information des lycées : point de situation
- Académie de Lille — Deuxième point de situation
- INCYBER — La région Hauts-de-France fait le point sur la cyberattaque contre ses lycées (24/11/2025)
- Café pédagogique — Bac 2026 et cyberattaque des académies d’Amiens et de Lille (11/05/2026)
- Café pédagogique — Ordinateurs des lycées des Hauts-de-France : toujours des problèmes (24/11/2025)
- Légifrance — Décret adaptant le baccalauréat technologique, session 2026
- Légifrance — Décret relatif aux épreuves de spécialité, session 2026
- France 3 Hauts-de-France — La Région investit 22,5 millions d’euros (11/12/2025)
- France 3 Hauts-de-France — Les lycées fonctionnent en mode dégradé
- France 3 Hauts-de-France — Données potentiellement piratées
- franceinfo, Le vrai du faux — La rentrée scolaire est-elle décalée comme certains l’affirment sur TikTok ?
- franceinfo — La cyberattaque complique la préparation de la rentrée dans certaines académies
- AEF info — La cyberattaque rend la préparation de rentrée « chaotique » selon les syndicats
- Cyberattaque.org — ZeroBytes revendique le vol de 346 millions de lignes
- L’Étudiant Educpros — Cyberattaques dans les lycées des Hauts-de-France : un trimestre sous tension
- ZATAZ — Cyberattaque contre la Région des Hauts-de-France
- CNIL — Notifier une violation de données personnelles
- Cybermalveillance.gouv.fr — Réagir à une attaque par rançongiciel
- ANSSI — Attaques par rançongiciels, tous concernés
À lire également
- Téléphone interdit au lycée : le calendrier du règlement intérieur
- Piratage de la DGFiP : la notification et les faux courriels
- Cinq fuites en une matinée : l’export client confié à un prestataire
- Fuite BlgCloud : quand l’éditeur et l’attaquant ne comptent pas pareil
- Fuite Alaxione : ce que vaut le chiffre d’un attaquant
- RAMpocalypse : la facture informatique des PME va grimper
- Netim, bureau d’enregistrement lillois, visé par un rançongiciel
