L’Enseignement catholique frappé par une cyberattaque d’ampleur exposant les données personnelles de 1,5 million de personnes

Une nouvelle fuite de données affecte “1,5 million de personnes, soit les 800 000 élèves du premier degré, leur famille, et 40 000 professeurs”, a indiqué Stéphane Gouraud, secrétaire général adjoint de l’Enseignement catholique.

L’institution vient en effet d’être victime d’une attaque informatique ciblant son application de gestion. Les données compromises concernent les noms, prénoms, adresses, numéros de téléphone, adresses mails et dates de naissance. Autrement dit, un socle d’informations personnelles suffisant pour alimenter des campagnes de phishing ciblé, voire des usurpations d’identité à grande échelle.

Une réaction immédiate

Le Secrétariat général de l’Enseignement catholique indique “avoir immédiatement déployé un protocole de réponse rigoureux" et pris sans délai les mesures nécessaires comme la sécurisation immédiate de tous les accès, la suspension des services impactés par l’incident et le signalement aux autorités compétentes, en premier lieu desquelles le ministère de l’Éducation nationale.

"Parallèlement, une communication proactive a été établie avec l’ensemble des chefs d’établissement, des enseignants et des parents d’élèves concernés pour les informer des mesures mises en place pour assurer la sécurisation des systèmes et transmettre des recommandations de vigilance, notamment relatives à la modification des accès et à l’usage de mots de passe complexes“, est-il précisé.

Une attaque massive, mais pas isolée

Si aucune demande de rançon n’a été rendue publique à ce stade, cet incident s’inscrit dans une tendance inquiétante. Le Panorama de la cybermenace 2025 publié par l’Anssi fait ainsi état d’une hausse de 7 points des attaques par rançongiciels contre les universités entre 2023 et 2024.

"Fait notable, les établissements scolaires, notamment d’enseignement primaire et secondaire, ont été particulièrement touchés en 2025. Ces incidents ont pu avoir des impacts conséquents et visibles sur ces structures, forçant parfois la mise en œuvre d’un mode de fonctionnement dégradé pendant plusieurs semaines, avec notamment des difficultés d’accès à des ressources internes aux établissements“, est-il d’ailleurs précisé. En 2025, le secteur de l’enseignement et de la recherche concentrait à lui seul 34 % des incidents traités par l’agence. Une proportion inédite, qui dépasse largement celle d’industries historiquement ciblées comme la santé ou les collectivités territoriales.

Une cible vulnérable

Si le secteur devient donc une cible régulière, ce n’est pas tant en raison de données particulièrement sensibles au sens stratégique, mais à cause de sa vulnérabilité. L’Anssi “a traité plusieurs attaques contre des établissements d’enseignement secondaire, menées par des attaquants d’un niveau technique limité, mais tirant parti du faible niveau de sécurisation de ces entités“.

Les établissements d’enseignement supérieur subissent ainsi régulièrement des compromissions de comptes de messagerie de leurs personnels ou étudiants, à des fins de diffusion de campagnes d’hameçonnage. D’autant qu’une base de données éducative compromise peut aussi servir de point d’entrée vers d’autres systèmes, messageries, comptes bancaires, services publics, et donc devenir un pivot dans des chaînes d’attaque plus larges.