Académie de Toulouse : la rentrée sans informatique

Le 19 août 2026, l’académie de Toulouse a suspendu l’accès à l’ensemble de ses systèmes d’information. Applications métiers, messagerie, site internet : tout. À moins de deux semaines de la rentrée des élèves. Quinze jours plus tard, les équipes établissaient des contrats sur papier et saisissaient des affectations à la main.

Ce n’est pas une panne. C’est une décision de protection prise après un incident de sécurité, et c’est précisément le scénario qu’un plan de continuité est censé anticiper.

La chronologie, telle qu’elle est établie

Dans la nuit du 25 juillet 2026, le ministère de l’Éducation nationale subit un accès frauduleux au système d’information dédié à la formation des personnels. Le vecteur, selon le ministère : l’usurpation d’un compte professionnel. Sont potentiellement concernées les données d’identité et professionnelles des agents ayant exercé en académie depuis 2001 — et pour certains, adresses, téléphones et numéros de Sécurité sociale. Plainte déposée, ANSSI et CNIL saisies.

Le 17 août, un groupe se présentant sous le nom de ZeroBytes revendique l’exfiltration de 43 gigaoctets de données couvrant une vingtaine d’années. Revendique : le mot a son importance.

Le 19 août, le recteur de l’académie de Toulouse, Karim Benmiloud, indique qu’« un incident de sécurité survenu mercredi 19 août » a conduit « à prendre des mesures immédiates de protection et à suspendre l’accès à l’ensemble des systèmes d’information ». Le lien formel entre cet incident local et l’intrusion de juillet n’a pas été établi publiquement. Nous ne l’établirons pas davantage.

Le 28 août, le ministère annonce que 28 académies sur 30 ont retrouvé un fonctionnement normal. Toulouse et Nantes restent en mode dégradé. Le ministre Édouard Geffray reconnaît ce mode dégradé, assure que la rentrée aura lieu et annonce deux audits, l’un sur la sécurité, l’autre sur l’organisation.

Ce que « système D » veut dire concrètement

La consigne donnée aux établissements : établir les contrats sur papier, régulariser ensuite. Les affectations restantes sont traitées manuellement. L’académie travaille sur des postes sécurisés prêtés par l’académie de Montpellier, et une partie des opérations bascule sur les serveurs montpelliérains. Des tables ont été installées à l’entrée du rectorat pour accueillir des enseignants privés de messagerie professionnelle, avec un standard téléphonique saturé.

Rien de spectaculaire. C’est le détail qui coûte : chaque ligne ressaisie, chaque contrôle qui ne se fait plus tout seul, chaque contrat à régulariser sans savoir encore combien il y en a.

Ce que dit l’ANSSI, chiffres à l’appui

L’agence a publié le 11 mars 2026 son Panorama de la cybermenace 2025. Trois passages intéressent un dirigeant.

Le secteur, d’abord. L’éducation et la recherche concentrent 34 % des 1 366 incidents portés à la connaissance de l’ANSSI en 2025, devant les ministères et collectivités territoriales (24 %) et la santé (10 %). L’agence précise elle-même que ce classement reflète en partie la propension des entités publiques à signaler, et n’est pas nécessairement représentatif de l’ensemble des événements de sécurité en France.

La tendance, ensuite : 196 incidents d’exfiltration de données en 2025, contre 130 en 2024. Le vol de données devient un objectif en soi, sans chiffrement ni rançon.

La prudence, enfin. Parmi toutes les revendications d’exfiltration portées à sa connaissance, l’ANSSI n’a pu confirmer la véracité que de 80 d’entre elles. Les volumes annoncés par un groupe d’attaquants relèvent de la communication, pas du constat. C’est pourquoi nous citons la revendication de ZeroBytes sans reprendre ses chiffres.

Et l’intelligence artificielle, dans cette affaire ?

Rien de public ne permet d’affirmer que l’IA a joué un rôle dans l’intrusion de juillet ni dans l’incident toulousain. Nous l’écrivons parce que c’est le cas, et parce que la tentation inverse est forte.

Ce qui est documenté tient en une phrase de l’ANSSI : l’utilisation de capacités issues de l’intelligence artificielle permet aux attaquants « d’améliorer le niveau, la quantité, la diversité et l’efficacité de leurs attaques », un usage que l’agence observe chez toutes les catégories d’acteurs offensifs, étatiques comme criminels.

Or sur les trois incidents connus à l’Éducation nationale en 2026, deux commencent par la compromission d’un compte légitime : celui de juillet, et celui d’ÉduConnect annoncé le 14 avril, qui remonte à la compromission d’un compte administrateur fin 2025. Pas de faille exotique. Un identifiant. C’est exactement l’étape que l’IA générative industrialise, en rendant un message d’hameçonnage crédible, personnalisé et produit en série.

Un second point concerne les organisations qui déploient des assistants IA. L’ANSSI note que leur intégration dans les flux opérationnels augmente la surface d’attaque en l’absence de cloisonnement. Ajoutons une évidence de continuité : un assistant branché sur votre messagerie et vos applications métiers s’éteint avec elles. Si votre plan de secours suppose que l’IA vous aidera à traverser la crise, il repose sur un outil qui sera hors service en même temps que le reste.

Ce qu’une TPE, une PME ou un organisme de formation peut en tirer

L’académie de Toulouse dispose d’une chose que vous n’avez probablement pas : une académie voisine capable de lui prêter des postes sécurisés et des serveurs. Le centre hospitalier intercommunal de Haute-Comté, attaqué en octobre 2025, n’attend pas de retour à la normale avant début 2027, avec plus de 1 000 postes et environ 200 applications à reconstruire. Quinze mois. C’est l’ordre de grandeur à garder en tête, pas quarante-huit heures.

Quatre questions, à traiter avant l’incident et pas pendant :

• Quels processus doivent survivre quinze jours sans système d’information ? Payer, facturer, joindre, prouver. L’ANSSI juge indispensable d’élaborer en amont plan de continuité et plan de reprise, la préparation de ces décisions déterminant la capacité à faire face.
• Où sont vos coordonnées si la messagerie tombe ? Un annuaire imprimé, ou stocké hors ligne. Toulouse a sorti des tables devant le rectorat, faute d’autre canal.
• Vos sauvegardes sont-elles déconnectées, et avez-vous déjà restauré pour de vrai ? Une sauvegarde jamais testée reste une hypothèse.
• L’authentification forte couvre-t-elle tous les accès distants ? L’ANSSI relève que les comptes VPN qui en sont dépourvus demeurent un vecteur d’intrusion privilégié.

S’ajoute une question de droit souvent oubliée : un contrat signé sur papier en attendant la régularisation reste un contrat, et engage. Pour un organisme de formation, la convention, le programme et les émargements devront exister le jour où un financeur ou un auditeur les demande, y compris si le serveur était éteint ce mois-là.

Arbitrer sur ces sujets avec des moyens limités est l’objet d’une journée que nous animons pour les dirigeants de PME et de TPE, établir son premier plan d’actions en sûreté et cybersécurité. Le reste du catalogue figure sur notre page cybersécurité. Précision utile : DTJ Training n’est pas certifié Qualiopi et sa déclaration d’activité est enregistrée sous le numéro 32800278480. Aucun financement OPCO ou France Travail n’est mobilisable à ce jour. Nous préférons l’écrire plutôt que de vous le laisser découvrir.

Une dernière suggestion. Choisissez une date, coupez volontairement l’accès à votre messagerie professionnelle pendant une demi-journée, et notez ce qui s’arrête. Ce que vous apprendrez ce matin-là coûtera nettement moins cher qu’un 19 août.

Sources

• next.ink, « L’Éducation nationale s’est encore fait pirater, un nombre important d’agents concernés », août 2026 — reprise du communiqué du ministère sur l’accès frauduleux du 25 juillet 2026.
• Le Journal toulousain, « “Black-out” dans l’académie de Toulouse : la cyberattaque menace-t-elle la rentrée ? », 25 août 2026 — déclaration du recteur Karim Benmiloud.
• 20 Minutes, « Rentrée scolaire : “C’est le système D”… L’académie de Toulouse privée de système informatique au pire moment », 26 août 2026.
• Café pédagogique, « Éducation nationale : une fuite de données qui inquiète », 24 août 2026, et « Réseau informatique : une pré-rentrée chaotique pour beaucoup d’établissements », 28 août 2026.
• Clubic, « Cyberattaque dans l’Éducation nationale : des académies encore paralysées à quelques jours de la rentrée », 28 août 2026.
• France 3 Occitanie / franceinfo, « Cyberattaque de l’éducation nationale à Toulouse : toutes les conséquences que vous devez connaître pour cette rentrée », août 2026 — contrats papier, postes prêtés par l’académie de Montpellier.
• ANSSI / CERT-FR, Panorama de la cybermenace 2025, référence CERTFR-2026-CTI-002, 11 mars 2026.
• Ministère de l’Éducation nationale, communiqué sur l’incident ÉduConnect, 14 avril 2026.
• macommune.info, « Cyberattaque au centre hospitalier intercommunal de Haute-Comté : un retour à la normale attendu pour 2027 », 29 mars 2026.