Logo MDP Data Protection avec clé rouge sur fond transparent

Bureaux

425 rue Jean Rostand 31670 Labège

Nous écrire

ask@mdp-data.com

Nous appeler

+33 5 61 60 16 67

Nous contacter

Comptes ENT piratés : sécuriser les accès des élèves, parents et enseignants

par | Oct 15, 2026 | Education

Comptes ENT piratés : sécuriser les accès des élèves, parents, personnels et administrateurs

MDP Data Protection accompagne les établissements scolaires dans la sécurisation des accès numériques de leurs élèves, familles et personnels, pour des comptes protégés et une conformité RGPD démontrable

Pour éviter des comptes ENT piratés, un établissement doit protéger chaque catégorie d’utilisateurs : des mots de passe uniques et jamais partagés pour les élèves, une vigilance face au phishing pour les parents, l’authentification renforcée pour les personnels et des droits d’accès maîtrisés pour les administrateurs. Les attaques récentes montrent que le vol d’identifiants reste une porte d’entrée classique.

Ce que montrent les attaques contre les ENT depuis 2024

Les espaces numériques de travail (ENT) et les logiciels de vie scolaire sont des cibles régulières. Selon le ministère de l’Éducation nationale, une attaque massive par vol de mots de passe en 2024 avait conduit à la fermeture temporaire de la messagerie des ENT. La CNIL cite un épisode comparable dans les Hauts-de-France à la fin de 2025 : vols de mots de passe et campagnes d’hameçonnage massives y ont provoqué des fermetures temporaires de services.

L’opération Cactus : deux éditions nationales, en 2025 et en 2026

L’opération Cactus est une simulation d’hameçonnage pédagogique conçue par le ministère de l’Éducation nationale avec le ministère de l’Intérieur, la justice, Cybermalveillance.gouv.fr et la CNIL. Expérimentée en 2024, elle a été généralisée du 19 au 21 mars 2025 : plus de 2,5 millions de collégiens et de lycéens, dans plus de 4 700 établissements, ont reçu via leur ENT un message promettant des jeux vidéo piratés gratuits. Plus de 210 000 d’entre eux, soit près d’un sur 12, ont cliqué et ont été redirigés vers une vidéo de sensibilisation.

L’édition 2026, du 23 au 27 mars, a été élargie aux parents et aux personnels : près de 9 millions de personnes (3,5 millions de collégiens et lycéens, près de 5 millions de parents et plus de 500 000 personnels) ont reçu un faux message d’hameçonnage. Au total, 1 096 692 personnes ont cliqué, soit 12 % du public ciblé. Les deux éditions ne sont pas strictement comparables, car le public n’est pas le même.

👉 Pour approfondir : Opération Cactus : bilan 2025-2026 et leçons pour les établissements

ÉduConnect : une attaque de fin 2025 révélée en avril 2026

Le 14 avril 2026, le ministère a annoncé qu’une cyberattaque survenue en décembre 2025 avait permis d’exfiltrer des données d’élèves depuis un service annexe à ÉduConnect, chargé de la gestion des comptes élèves. Selon le ministère, l’attaquant a usurpé l’identité d’un personnel habilité et a pu télécharger des données au-delà de l’établissement initialement visé.

Les données concernées sont le nom, le prénom, l’identifiant ÉduConnect, l’établissement et la classe, l’adresse e-mail lorsqu’elle était renseignée et, pour les comptes non encore activés, le code d’activation. Le ministère indique que les comptes déjà activés n’étaient pas compromis, qu’il a réinitialisé les codes des autres, déposé plainte et saisi l’ANSSI et la CNIL. Le nombre exact de personnes concernées restait à évaluer ; les pirates, eux, en revendiquaient jusqu’à 3,5 millions.

L’enseignement est clair : un compte habilité compromis peut ouvrir l’accès aux données de nombreux élèves. Pour approfondir ce que doit faire un établissement en cas d’incident, voir notre article : Fuite de données dans un établissement scolaire : que faire dans les 72 heures ?

Comment un compte ENT se fait pirater

Dans son guide pour les directeurs d’école et les chefs d’établissement, la CNIL recense des situations de vol d’identifiants fréquemment remontées :

  • Ingénierie sociale : un élève incite un camarade à lui communiquer son identifiant et son mot de passe, puis les utilise pour envoyer des messages injurieux aux professeurs.
  • Session laissée ouverte : des élèves accèdent à la messagerie d’un enseignant, modifient des informations scolaires et accèdent à des sujets d’examen.
  • Identifiants à découvert : mot de passe affiché à l’écran ou noté sur un post-it, photographié puis partagé pour modifier des appréciations.
  • Mot de passe réutilisé : volé lors d’une autre fuite, il permet d’utiliser le compte d’un membre du personnel pour envoyer un message de phishing à toutes les familles.
  • Faux site « miroir » : une copie de l’ENT à l’adresse légèrement différente collecte les identifiants des élèves.
  • Logiciel malveillant : un élève télécharge un logiciel gratuit censé améliorer ses performances dans un jeu vidéo ; il vole les identifiants enregistrés dans son navigateur, dont ceux de l’ENT.

Les conséquences vont des messages injurieux à la modification de notes, en passant par l’envoi de phishing aux familles à partir d’une adresse de confiance.

Sécuriser les accès : ce qu’il faut demander à chacun

L’article 32 du RGPD impose des mesures de sécurité adaptées au risque. Pour les comptes ENT, elles reposent sur quatre publics, chacun avec ses gestes.

Public Gestes essentiels
Élèves Un mot de passe long et unique, jamais communiqué à un camarade. Fermer sa session après usage. Ne pas télécharger de logiciels « gratuits » ou de triche pour les jeux. Signaler à un adulte tout message suspect.
Parents Se connecter depuis le site officiel de l’établissement ou de l’ENT plutôt que depuis un lien reçu par message. Vérifier l’expéditeur. En cas de doute, contacter l’établissement par un autre canal. Accompagner l’enfant dans ses usages.
Enseignants et personnels Activer l’authentification multifacteur quand elle est proposée. Utiliser un mot de passe différent par compte, avec un gestionnaire de mots de passe. Ne jamais laisser une session ouverte ni des identifiants visibles. Ne pas installer de logiciels non autorisés.
Direction et administrateurs de l’ENT Authentification multifacteur sur les comptes à droits étendus. Suppression rapide des accès des personnes parties. Limiter les droits au strict nécessaire. Surveiller les connexions inhabituelles et les règles de redirection de courriels ajoutées par un tiers. Vérifier le contrat de l’éditeur (sécurité, journalisation, information en cas d’incident).
Réflexes de sécurité contre les comptes ENT piratés pour élèves, parents, personnels et administrateurs
Élèves, parents, personnels et administrateurs : chacun a un rôle à jouer pour limiter le risque de comptes ENT piratés.

👉 Pour approfondir : Responsable de traitement ou sous-traitant : comment savoir qui vous êtes ? et Outils collaboratifs en enseignement : les nouvelles règles CNIL du 24 août 2026

Que faire quand un compte est compromis

  1. Changer le mot de passe dès qu’il a perdu sa confidentialité, et ne plus l’utiliser sur d’autres comptes.
  2. Fermer les sessions ouvertes et vérifier les messages envoyés ainsi que les règles de redirection ajoutées au compte.
  3. Prévenir l’établissement et le prestataire de l’ENT, qui peut effacer des contenus malveillants. Pour des messages adressés à des mineurs, la CNIL signale qu’un avertissement peut les pousser à aller voir le contenu piraté : mieux vaut faire supprimer ce contenu par le prestataire.
  4. Alerter les familles rapidement si des messages de phishing sont partis d’un compte de l’établissement : un message venant d’une adresse du monde éducatif inspire confiance et se propage vite.
  5. Informer le délégué à la protection des données et apprécier la nécessité de notifier la CNIL.

Sensibiliser sans piéger

Le ministère met à disposition un kit pédagogique sur l’opération Cactus pour déployer la sensibilisation en classe. Les fiches de Cybermalveillance.gouv.fr sur l’hameçonnage et le poster « Cyber réflexes » de la CNIL complètent ces outils. Un établissement qui souhaite organiser sa propre simulation doit respecter les règles de loyauté et de transparence détaillées dans notre article sur les campagnes de phishing.

Pour un OGEC ou un réseau d’établissements, définir à l’avance qui administre l’ENT, qui peut créer des comptes à droits étendus et qui est prévenu en cas d’incident évite de découvrir les failles le jour de l’attaque. C’est l’approche que nous déployons auprès des groupes scolaires et établissements éducatifs.

FAQ – Comptes ENT piratés

Quand a eu lieu l’opération Cactus ?

L’opération a été expérimentée en 2024 dans des académies, puis généralisée à l’échelle nationale du 19 au 21 mars 2025 auprès de plus de 2,5 millions de collégiens et de lycéens. La deuxième édition nationale s’est déroulée du 23 au 27 mars 2026, élargie aux parents et aux personnels : près de 10 millions de personnes ont reçu un faux message d’hameçonnage.

Un compte ENT piraté est-il une violation de données ?

Oui, dès lors que des personnes non autorisées accèdent à des données personnelles. La CNIL range le vol d’identifiants parmi les cinq situations types de violation dans l’éducation. L’établissement doit alors qualifier le risque, alerter son délégué à la protection des données et apprécier s’il faut notifier la CNIL.

L’authentification multifacteur est-elle obligatoire sur l’ENT ?

Le RGPD impose des mesures de sécurité adaptées au risque (article 32) sans citer cette mesure précisément. La CNIL recommande en revanche d’activer l’authentification multifacteur quand elle est proposée, en particulier pour les comptes à droits étendus.

Que faire si un élève a partagé son mot de passe ?

Il faut le changer immédiatement, ne plus l’utiliser sur d’autres comptes, vérifier l’activité du compte et prévenir l’établissement. L’objectif est d’abord de reprendre la main sur le compte, puis de rappeler pourquoi un mot de passe ne se partage pas.

Les parents doivent-ils se méfier d’un message reçu depuis l’ENT ?

Oui, en cas de message inattendu ou alarmiste. Un compte compromis peut servir à envoyer du phishing à toutes les familles, avec une adresse qui inspire confiance. En cas de doute, il vaut mieux contacter l’établissement par un autre canal et se connecter depuis le site officiel plutôt que depuis un lien reçu.

Un établissement privé sous contrat est-il concerné par ces risques ?

Oui, car les risques tiennent aux outils (ENT, logiciels de vie scolaire, messageries) et non au statut de l’établissement. En mars 2026, l’Enseignement catholique a lui-même annoncé une attaque visant l’application de gestion de ses établissements du premier degré.

En résumé

Les comptes ENT piratés ouvrent l’accès aux messageries, aux données scolaires et aux familles. Les attaques de 2024 à 2026 et l’opération Cactus montrent la réalité du vol d’identifiants. Pour s’en protéger, chaque public a son rôle : mots de passe uniques pour les élèves, vigilance pour les parents, authentification renforcée pour les personnels, droits maîtrisés pour les administrateurs. En cas de compromission, il faut agir vite et informer le délégué à la protection des données.

Sources

Pour aller plus loin

Les solutions MDP Data Protection

MDP Data Protection et sa méthode CCOS accompagne les organisations dans la mise en conformité multi-réglementaire (RGPD, NIS2 et IA Act...), avec une approche opérationnelle et évolutive.

  • SimplyRGPD : Pilotage de votre conformité au quotidien.
  • MDP CAMPUS : Notre parcours de sensibilisation en vidéos pédagogiques de 3 à 7 minutes.

Notre Méthode : le Continuous Compliance Operating System - CCOS

Découvrez notre méthode pour passer à une conformité en continu.

Sinon retrouvez un résumé ici : le Continuous Compliance Operating System

Restez à jour sans y passer vos journées

Notre veille réglementaire, une fois par mois. Les textes qui bougent, ce qu'ils changent, ce qu'il faut faire.

À propos de l’auteur

Christophe SAINT-PIERRE est le dirigeant de MDP Data Protection. Expert reconnu en conformité réglementaire, RGPD, NIS2 et AI Act, il accompagne depuis plus de vingt ans les organisations dans leur transformation numérique.

Sa vision stratégique repose sur l'idée que la conformité ne doit pas être perçue comme une contrainte, mais comme un véritable levier de compétitivité, de sécurité et de confiance. Engagé pour une souveraineté numérique européenne, il défend également une approche éthique de l'intelligence artificielle et de la cybersécurité. Lire sa biographie complète.