À Toulouse, à l’approche de la rentrée, les agents de l’Éducation nationale ne pouvaient toujours pas ouvrir leur messagerie ni accéder à leurs applications professionnelles. Au même moment, dans 28 académies sur 30, les applications étaient de nouveau accessibles, indiquait le ministère de l’Éducation nationale. Cet écart donne la mesure du problème posé aux défenseurs : rétablir les outils indispensables dans chaque académie tout en coupant les accès dont un intrus pouvait encore se servir ailleurs.
D’un compte valide à un autre service de l’État
Le bilan d’octobre de l’opération REACTIV, publié le 12 novembre, reconstitue un mode opératoire observé à plusieurs reprises. Les attaquants se connectaient avec des identifiants valides, exploitaient des comptes dotés de droits étendus, puis cherchaient de nouveaux accès. Ils ont pu extraire des annuaires, des bases de données applicatives et des contenus de messagerie. L’enquête a établi que plusieurs services nationaux déconcentrés avaient aussi été atteints.
Dans certains cas, l’enquête a mis en évidence un déplacement vers d’autres entités par le Réseau interministériel de l’État. C’est ce que les enquêteurs appellent un mouvement latéral : un premier accès sert à atteindre une autre ressource ou un autre environnement. Le chiffre de 25 académies désigne celles que les différents incidents ont visées. L’ANSSI décrit des conséquences d’intensité variable et réserve le constat de propagation aux cas où l’enquête l’a établi. Elle situe l’opération REACTIV dans un contexte de cybercriminalité, sans attribuer ces intrusions à une puissance étrangère.
À Nantes et Toulouse, rouvrir service par service
Le ministère et l’ANSSI ont construit leur plan de remise en état pendant l’été. À Nantes et Toulouse, les équipes ont réinitialisé les comptes, puis rouvert les services selon les priorités de gestion. Le choix de l’ordre de réouverture comptait : rétablir une application utile aux agents impliquait de savoir quels comptes pouvaient encore l’administrer et quels échanges elle autorisait avec le reste du système.
Dans son bilan d’octobre, l’agence indique qu’aucune nouvelle violation de données n’a été constatée à l’Éducation nationale depuis le précédent point du 30 septembre. Les travaux se poursuivaient pourtant sur trois fronts très concrets : mieux protéger les accès d’administration, réduire et surveiller les flux de données, et sécuriser certaines applications. Ces chantiers correspondent aux moyens de progression que les enquêteurs avaient pu reconstituer pendant l’été.
