MtoM Mag - Le journal de l'MtoM.

Les e-mails malveillants sont le principal mode d’attaque, et les coûts de reprise d’activité s’élèvent désormais en moyenne à 2,26 millions de dollars

Sophos, l’un des premiers fournisseurs mondiaux de cybersécurité, publie aujourd’hui son rapport 2026 sur l’état des ransomwares dans le secteur de l’éducation. Cette nouvelle édition révèle que les techniques d’attaque basées sur l’identité ont été utilisées dans 85 % des attaques par ransomware visant des établissements d’enseignement. Ces techniques comprennent notamment les e-mails malveillants, le phishing, les identifiants compromis et les attaques par force brute. Dépassant la moyenne intersectorielle de 79 %, ce taux souligne le rôle que continue de jouer la compromission des identités dans les incidents de ransomwares qui ciblent les établissements d’enseignement primaire, secondaire et supérieur.

Les e-mails malveillants constituent le principal facteur technique des attaques par ransomware, tant dans l’enseignement primaire et secondaire (31 %) que dans l’enseignement supérieur (29 %). Par ailleurs, 77 % des établissements d’enseignement supérieur et 71 % des établissements d’enseignement primaire et secondaire déclarent que leur incident lié à un ransomware constituait l’attaque basée sur l’identité la plus importante qu’ils aient subie.

Le secteur de l’éducation se redresse également moins vite. Comparé à la moyenne intersectorielle, les établissements d’enseignement sont environ deux fois plus susceptibles de mettre un à trois mois à se rétablir complètement. C’est notamment dans l’enseignement primaire et secondaire que l’on observe la plus forte proportion de reprises ayant nécessité un mois ou plus : 31 % des établissements ont eu besoin d’au moins un mois pour se remettre sur pied, soit plus que dans tout autre secteur.

« Les établissements d’enseignement restent des cibles privilégiées, car ils détiennent de grandes quantités de données à caractère personnel tout en fonctionnant avec des ressources fortement limitées », explique Ross McKerchar, Chief Information Security Officer, Sophos. « Aujourd’hui, les attaquants n’ont plus besoin d’un pied-de-biche puisqu’ils peuvent voler les clés. La compromission des identités est devenue l’un des moyens les plus efficaces de s’introduire dans une organisation, et l’IA ne fait qu’accroître la rapidité, l’ampleur et la sophistication de ces attaques. Les établissements les plus résilients sont ceux qui considèrent l’identité comme un contrôle de sécurité fondamental et qui l’associent à des capacités intégrées de détection et de réponse permettant de neutraliser les menaces avant qu’elles ne se transforment en incidents majeurs. »

Autres conclusions du rapport :

 Les établissements d’enseignement font état de difficultés opérationnelles plus marquées que la moyenne intersectorielle. Plus de la moitié (53 %) des établissements d’enseignement supérieur déclarent ne pas disposer des compétences ou de l’expertise nécessaires pour détecter et contrer les attaques à temps, contre 35 % dans tous les autres secteurs. De leur côté, les établissements d’enseignement primaire et secondaire citent le plus souvent l’erreur humaine (52 %), le manque de protection (47 %), les failles de sécurité inconnues (42 %) et les capacités limitées (41 %) comme des facteurs contributifs.
 Les taux de chiffrement des données ont plus que doublé dans l’enseignement primaire et secondaire. Le pourcentage d’établissements d’enseignement primaire et secondaire dont les données ont été chiffrées lors d’une attaque par ransomware a plus que doublé d’une année sur l’autre, passant de 29 % en 2025 à 61 % en 2026. Sur l’ensemble du secteur de l’éducation, 58 % des attaques par ransomware ont entraîné un chiffrement de données.
 La restauration des données s’appuie largement sur les sauvegardes. Plus des trois quarts (77 %) des établissements d’enseignement primaire et secondaire, et 69 % des établissements d’enseignement supérieur, restaurent leurs données chiffrées à l’aide de sauvegardes – ces deux taux étant supérieurs à la moyenne intersectorielle de 66 %.
 Les demandes de rançon restent élevées malgré une tendance à la baisse observée depuis plusieurs années. Le montant médian des rançons demandées aux établissements d’enseignement s’élève à 775 200 dollars, soit plus que la médiane intersectorielle de 698 000 dollars. Les demandes de rançon médianes dans le secteur de l’éducation ont baissé deux années de suite, tandis que les paiements ont augmenté de 15 000 dollars entre les rapports 2025 et 2026.
 Les coûts de reprise augmentent et les délais de retour à la normale restent longs. Les coûts moyens de reprise après une attaque par ransomware ont atteint 2,26 millions de dollars dans le secteur de l’éducation, dépassant la moyenne intersectorielle de 1,7 million de dollars. Plus d’un quart (26 %) des établissements d’enseignement ont eu besoin d’un à trois mois pour se remettre complètement d’une attaque, soit près du double de la moyenne intersectorielle (14 %).
 L’impact humain sur les équipes informatiques et de sécurité s’intensifie. Plus de la moitié (53 %) des équipes d’établissements d’enseignement supérieur font état d’une pression accrue de la part de leur direction, contre 40 % sur tous les autres secteurs. Environ 39 % des établissements d’enseignement ont signalé des absences de personnel dues au stress ou à des problèmes de santé mentale à la suite d’une attaque par ransomware, contre 29 % dans tous les autres secteurs. Le secteur de l’éducation affiche également un taux de rotation élevé au sein des équipes dirigeantes : 29 % des équipes dans l’enseignement supérieur et 27 % dans l’enseignement primaire et secondaire ont vu leur direction remplacée après une attaque, la moyenne intersectorielle étant de 21 %.

Les conclusions de ce rapport s’appuient sur une enquête indépendante menée auprès de 226 responsables informatiques et de la cybersécurité du secteur de l’éducation, répartis dans 17 pays, et dont les organisations ont été victimes d’une attaque par ransomware au cours de l’année écoulée. L’étude a été réalisée entre janvier et mars 2026. Dans le cadre de ce rapport, les tranches d’âge sont définies comme suit : l’enseignement primaire et secondaire (généralement des élèves de moins de 18 ans) et l’enseignement supérieur (généralement des étudiants de plus de 18 ans). Il s’agit de la sixième année consécutive au cours de laquelle Sophos recueille ces données.

Pour télécharger le rapport complet « État des lieux 2026 des ransomwares dans le secteur de l’éducation », rendez-vous sur https://www.sophos.com/fr-fr/resour...