269 lycées à l’arrêt
et pas une seule poursuite depuis.

Un vendredi, à la veille des vacances de la Toussaint. Le choix du moment n’a rien d’accidentel : équipes techniques en effectif réduit, décideurs dispersés, délai maximal avant que quelqu’un s’aperçoive de l’ampleur des dégâts.

• 10 octobre 2025 : le système d’information des lycées publics tombe. Quatre-vingts pour cent des 269 établissements perdent l’accès aux réseaux et à internet. Les équipes suspendent tout pour contenir la propagation.
• Le même jour : cellule de crise activée avec les rectorats, un prestataire spécialisé, l’agence nationale de sécurité des systèmes d’information et la gendarmerie. Plainte déposée.
• 13 octobre : Qilin revendique sur son site vitrine et publie des échantillons. La Région ordonne de maintenir tous les ordinateurs éteints.
• 16 octobre : réunion avec les recteurs d’Amiens et de Lille. Consigne réaffirmée de n’utiliser aucun matériel, professionnel ou personnel, sur les réseaux des établissements.
• Fin octobre : les 5 255 postes administratifs sont nettoyés et remis en service. Les 55 000 postes pédagogiques restent hors service à l’approche de la rentrée.

Cent soixante-dix-sept agents ont été mobilisés. La décision d’éteindre l’ensemble du parc, spectaculaire vue de l’extérieur, relève du manuel : un rançongiciel se propage par le réseau, et une machine allumée est une machine qui peut être atteinte ou réinfecter les autres une fois le nettoyage entamé. Le coût de cette mesure se paie en semaines de travail dégradé.

Voilà le fait le plus difficile à admettre, et le moins commenté. Le groupe qui a paralysé deux académies françaises n’a fait l’objet d’aucune action judiciaire ni d’aucune mesure coercitive.

• Aucune arrestation liée au groupe n’a été rendue publique.
• Aucune inculpation n’a été prononcée par une autorité judiciaire.
• Aucune sanction financière internationale ne vise ses opérateurs.
• Aucune saisie d’infrastructure n’a été annoncée.
• Aucun avis conjoint des agences de cybersécurité américaines ne lui a été consacré, alors que ces mêmes agences en ont publié pour Akira, Black Basta, BianLian, RansomHub et Gunra.

Les raisons de cette absence tiennent moins à un manque de volonté qu’à une géographie. Les opérateurs présumés se trouveraient dans un pays qui n’extrade pas ses ressortissants, et dont les autorités n’engagent pas de poursuites tant que les victimes se situent hors de sa sphère d’influence. La politique d’évitement systématique des pays de la Communauté des États indépendants, inscrite dans le fonctionnement même du programme, relève moins d’un scrupule que d’un arrangement tacite. Les opérations de démantèlement réussies ces dernières années ont porté sur des infrastructures techniques ou sur des affiliés imprudemment installés ailleurs, jamais sur le noyau d’un tel groupe.

Cette situation dure depuis juillet 2022. Elle a une conséquence pratique pour toute organisation qui planifie sa sécurité : les analyses de risque qui misent implicitement sur un démantèlement à venir n’ont rien pour s’appuyer. Le seul levier disponible se situe à l’intérieur de son propre système d’information. Les autorités françaises maintiennent par ailleurs leur doctrine de non-paiement des rançons, position qui évite d’alimenter l’économie criminelle mais laisse la victime seule face au coût de la reconstruction.

Les équipes de réponse à incident convergent sur un constat qui déçoit ceux qui imaginent des prouesses techniques. L’entrée se fait presque toujours par la porte, avec une clé achetée.

• Des identifiants valides obtenus sur des places de marché criminelles, servant à se connecter à des services exposés : accès distant, portail de connexion sécurisée, environnement de bureau virtuel.
• Ces identifiants circulent généralement entre une semaine et trois mois avant d’être utilisés, ce qui laisse une fenêtre de détection réelle.
• L’exploitation de vulnérabilités dans des applications web ou des équipements réseau, notamment une faille critique de contournement d’authentification affectant un pare-feu largement déployé.
• Dans les interventions documentées en 2025, le chiffrement se déclenche en moyenne 6,1 jours après la première détection de l’intrusion.
• Le déploiement se fait fréquemment par abus des stratégies de groupe, mécanisme d’administration légitime détourné pour diffuser le programme sur l’ensemble du parc.

Ces six jours sont l’information la plus exploitable de tout le dossier. L’attaquant n’arrive pas et ne chiffre pas dans la même heure : il explore, cartographie, récupère des droits supplémentaires et prépare l’exfiltration. Une organisation qui détecte une connexion anormale et réagit dans ce délai évite l’essentiel des dégâts. Encore faut-il regarder.

Une région administre un parc de soixante mille machines avec des équipes dédiées. Un artisan ou un cabinet libéral n’a rien de comparable, et c’est précisément ce qui rend certaines mesures accessibles.

• Une sauvegarde qui n’est pas déconnectée du réseau sera chiffrée avec le reste. Un disque externe rangé dans un tiroir après copie vaut mieux qu’un partage réseau permanent.
• Tester la restauration au moins une fois par an. Une sauvegarde jamais restaurée est une hypothèse, pas une garantie.
• Activer une authentification renforcée sur tous les accès distants, messagerie comprise. C’est ce qui neutralise un identifiant volé, principal vecteur documenté.
• Tenir à jour les équipements exposés sur internet : pare-feu, routeur, portail d’accès distant, système de vidéosurveillance. Ce sont eux qui font l’objet des exploitations documentées.
• Savoir qui appeler avant d’en avoir besoin, et disposer des coordonnées sur un support qui ne dépend pas du système d’information.
• Débrancher plutôt que d’éteindre proprement en cas de suspicion, et ne pas payer. Les autorités françaises maintiennent cette position, et le paiement ne garantit ni la restitution ni la non-publication.

Un dernier point, souvent négligé par les petites structures. Les collectivités de taille modeste sont devenues des cibles courantes précisément parce qu’elles disposent de données sensibles sans avoir les moyens d’une grande organisation, comme le montre notre article sur les mairies de province visées par les attaquants. Le raisonnement selon lequel une petite entreprise n’intéresse personne ne correspond plus à la réalité économique de ces groupes : leurs affiliés cherchent le rapport entre l’effort et le gain, pas le prestige de la victime.