218 incidents en 2024 : par où les cyberattaquants entrent-ils dans les collectivités ?

En 2024, l’ANSSI a traité 218 incidents cyber affectant des collectivités territoriales, soit en moyenne 18 par mois. Ces chiffres sont extraits de la synthèse de la menace publiée par le CERT-FR le 24 février 2025 et ils concernent toutes les strates : communes, EPCI, départements, régions.

En 2024, sur le seul périmètre des collectivités territoriales, ces 218 incidents représentaient 14 % de l’ensemble des incidents traités par l’Agence. L’année 2025 confirme et accentue la pression : dans son Panorama de la cybermenace 2025, publié en mars 2026, l’ANSSI place l’éducation et la recherche en tête des secteurs les plus visés avec 34 % des signalements, devant l’ensemble « ministères et collectivités territoriales » regroupé à 24 %, la santé (10 %) et les télécommunications (9 %). La Cour des comptes, dans son rapport de juin 2025 sur la réponse de l’État aux cybermenaces visant les systèmes d’information civils, relève que l’administration publique est devenue le secteur le plus ciblé en Europe. Pour un acteur du numérique éducatif, l’essentiel tient en une donnée : le secteur éducation-recherche est désormais la première cible déclarée.

Face à ces chiffres, la question que se pose tout DSI n’est pas « allons-nous être attaqués ? » mais « par où vont-ils entrer ? ». Cet article répond à cette question en s’appuyant sur les données ANSSI et les incidents réels documentés en 2024, avec un éclairage spécifique sur le numérique scolaire.

Pourquoi les collectivités sont-elles des cibles de choix ?

La réponse de l’ANSSI est directe : les collectivités territoriales sont ciblées de façon opportuniste par l’ensemble de l’écosystème cybercriminel. Plusieurs facteurs expliquent cette exposition.

Les collectivités gèrent des systèmes d’information nombreux et disparates : services techniques, état civil, urbanisme, restauration scolaire, ENT (Espace numérique de travail), parc d’équipements scolaires. Cette hétérogénéité rend la cartographie des réseaux difficile à maintenir et crée des angles morts exploitables.

Les ressources dédiées à la cybersécurité restent limitées, en particulier dans les communes et les EPCI de taille moyenne. Un DSI de collectivité gère souvent seul ou avec une petite équipe un SI qui concentre des données personnelles d’administrés de mineurs, d’agents des données à forte valeur sur les marchés cybercriminels.

Enfin, l’objectif lucratif est, selon l’ANSSI, de loin la première motivation des attaquants. En 2024, 33 incidents affectant les collectivités ont été classés en criticité élevée, soit 15 % du total sur le périmètre étudié. Ils sont majoritairement constitués d’attaques par rançongiciel et/ou d’actions illégitimes ayant mené à des exfiltrations de données.

Vecteur 1 : Le rançongiciel la menace principale

Le rançongiciel (ou ransomware) est un logiciel malveillant qui chiffre les données d’un système d’information et réclame le paiement d’une rançon en échange de leur restitution. Il reste la menace la plus grave et la plus documentée sur les collectivités territoriales en 2024.

L’ANSSI documente plusieurs incidents emblématiques. En avril 2024, une commune est compromise par le rançongiciel LOCKBIT 3.0 et contrainte d’isoler son système d’information d’internet. En novembre 2024, un conseil départemental signale la compromission de son environnement Active Directory et une exfiltration de données; l’ensemble du SI est isolé, provoquant de forts impacts sur les services métiers pendant plusieurs semaines.

L’exemple qui illustre le mieux l’effet de contagion : en octobre 2025, une attaque au rançongiciel Qilin paralyse 80% des lycées des Hauts-de-France.

Pour le DSI, le rançongiciel entre rarement de façon frontale. Il exploite une faille préexistante : un compte mal sécurisé, un équipement en bordure de réseau non mis à jour, un prestataire compromis. C’est pourquoi les vecteurs qui suivent sont aussi importants à comprendre que le rançongiciel lui-même.

Vecteur 2 : L’hameçonnage la porte d’entrée la plus fréquente

L’hameçonnage (phishing) représente le premier vecteur d’attaque en volume sur les collectivités. Selon l’étude 2024 de Cybermalveillance.gouv.fr sur la maturité cyber des collectivités, parmi celles qui déclarent avoir été victimes d’une cyberattaque, 46 % citent l’hameçonnage ce qui en fait le vecteur le plus fréquemment rencontré. Il reste également la première demande d’assistance des collectivités et administrations sur la plateforme, avec une progression marquée de son volume ces dernières années.

Le mécanisme est connu mais reste redoutablement efficace : un agent reçoit un email qui semble légitime (facture, notification de l’UGAP, alerte de sécurité) et clique sur un lien ou ouvre une pièce jointe qui installe un logiciel malveillant ou capture ses identifiants. À partir de ces identifiants, l’attaquant accède au SI et peut se déplacer latéralement pour atteindre des cibles plus sensibles.

L’ANSSI documente un exemple précis : en 2023, une grande collectivité territoriale française subit une compromission de ses comptes de messageries. Les attaquants récupèrent les identifiants d’un agent, puis mènent depuis ce compte des campagnes d’hameçonnage ciblant les autres agents et partenaires de la collectivité.

Dans le contexte du numérique scolaire, le risque est amplifié par le nombre d’utilisateurs (enseignants, personnels administratifs, agents des services techniques) qui accèdent à des outils partagés depuis des appareils parfois personnels et sans authentification renforcée.

Vecteur 3 : Les équipements de bordure non mis à jour

Les équipements dits « de bordure » (routeurs, pare-feux, VPN, points d’accès Wi-Fi) constituent des points d’entrée privilégiés pour les attaquants. L’ANSSI insiste sur ce point dans son panorama 2024 : ces équipements ont représenté plus de la moitié des opérations de cyberdéfense de l’Agence sur l’année.

Le problème est systémique dans les collectivités : ces équipements sont souvent anciens, peu supervisés, et leurs mises à jour de sécurité sont appliquées avec retard voire pas du tout. Un pare-feu non mis à jour sur une vulnérabilité connue depuis six mois est une porte ouverte. Les attaquants effectuent des scans automatisés sur l’ensemble de l’internet pour identifier ces équipements vulnérables et les exploiter de façon opportuniste.

Dans le contexte scolaire, la multiplication des accès Wi-Fi dans les établissements, les connexions depuis des tablettes et ordinateurs d’élèves, et l’intégration d’ENT et de plateformes pédagogiques élargissent considérablement la surface d’attaque. Chaque point d’accès mal configuré ou non mis à jour est un vecteur potentiel.

Vecteur 4 : La compromission de la chaîne d’approvisionnement

Ce vecteur est moins connu mais en forte progression. Il consiste à attaquer non pas la collectivité directement, mais un de ses prestataires numériques (hébergeur, éditeur de logiciel, fournisseur de MDM (Mobile Device Management), intégrateur informatique) pour atteindre ensuite l’ensemble de ses clients.

L’ANSSI documente un cas particulièrement marquant : en octobre 2023, un fournisseur de services informatiques dédié aux collectivités territoriales allemandes est compromis. Cette attaque, revendiquée par le groupe cybercriminel Akira, touche simultanément 72 collectivités et 20 000 postes de travail. Les services de certaines collectivités ne sont pas pleinement rétablis plusieurs mois après l’incident.

Ce vecteur est directement lié aux choix d’équipement des collectivités. Si votre solution de gestion de parc MDM ou UEM (Unified Endpoint Management) est hébergée chez un prestataire qui ne respecte pas des standards de sécurité élevés, une compromission de ce prestataire peut se propager à l’ensemble de votre parc scolaire. C’est précisément ce que la directive NIS2 vise à encadrer avec ses exigences sur la sécurité de la chaîne d’approvisionnement.

Vecteur 5 : L’exfiltration de données et la vente d’accès

Ce cinquième vecteur est en réalité souvent la conséquence des quatre précédents, mais il mérite d’être traité séparément car il a des implications spécifiques pour les collectivités.

En 2024, de nombreuses collectivités territoriales ont fait l’objet de vente d’accès à leurs systèmes d’information ou à leurs données par des acteurs cybercriminels sur des forums du darknet. Ces ventes peuvent découler d’attaques par rançongiciel précédées d’une exfiltration, ou de l’utilisation d’infostealers, des logiciels qui récupèrent silencieusement les identifiants stockés sur un poste de travail ou un navigateur.

En janvier 2024, l’ANSSI est informée qu’une commune est affectée par une fuite de données : l’ensemble de l’annuaire de la commune a été exfiltré et partagé sur plusieurs forums cybercriminels, exposant les données personnelles des employés. Les données visées dans les collectivités concernent aussi les administrés : état civil, gestion de biens et propriétés, facturation, données scolaires.

Pour une collectivité qui gère des données d’élèves mineurs, une exfiltration de ce type engage la responsabilité juridique au titre du RGPD (Règlement général sur la protection des données) et peut déclencher un contrôle de la CNIL. La notification obligatoire à la CNIL dans les 72 heures suivant la découverte d’une violation de données est une contrainte opérationnelle que peu de collectivités ont anticipée dans leurs procédures.

Ce que ça change concrètement pour le numérique scolaire

Les cinq vecteurs décrits ci-dessus ne sont pas abstraits pour un DSI de collectivité qui gère un parc d’équipements scolaires. Ils se traduisent par des risques très concrets.

Un ENT accessible depuis des appareils personnels d’élèves ou d’enseignants sans authentification multifacteur (MFA) est une surface d’attaque exposée au phishing. Une tablette scolaire gérée via un MDM hébergé chez un prestataire non auditable est un point d’entrée potentiel via la chaîne d’approvisionnement. Un routeur Wi-Fi d’établissement non mis à jour depuis 18 mois est une vulnérabilité documentée exploitable en quelques minutes par un scan automatisé.

La bonne nouvelle : ces risques sont réductibles. Ils ne nécessitent pas de budget cybersécurité exceptionnel. Ils nécessitent de la méthode : une cartographie à jour du SI, des mises à jour appliquées systématiquement, des contrats prestataires qui incluent des clauses de sécurité, et un plan de reprise d’activité testé avant d’en avoir besoin.

Conclusion

218 incidents en 2024, 18 par mois en moyenne, des départements paralysés pendant des semaines, des données d’administrés vendues sur le darknet. La menace cyber sur les collectivités territoriales n’est plus un risque théorique : c’est une réalité documentée, croissante et qui touche toutes les tailles de collectivités.

Les cinq vecteurs d’entrée identifiés par l’ANSSI (rançongiciel, hameçonnage, équipements de bordure, chaîne d’approvisionnement, exfiltration de données) sont des portes que tout DSI peut commencer à fermer aujourd’hui, sans attendre que la transposition définitive de la directive NIS2 en droit français

Aller plus loin, entre pairs

La cybersécurité des établissements scolaires ne se traite pas en vase clos. Elle gagne à être partagée entre responsables confrontés aux mêmes contraintes de terrain, de budget et de réglementation. Le Club DSI réunit les responsables des systèmes d’information des collectivités autour de ces enjeux : retours d’expérience, cadre réglementaire, choix d’équipement et bonnes pratiques de déploiement. Pour échanger avec d’autres DSI et suivre les prochains rendez-vous, rejoignez le Club DSI.