Opération Cactus: l’État teste 2,5 millions d’élèves pour contrer le phishing, première menace cyber

Tu reçois un message crédible dans l’ENT du collège, promesse de « jeux crackés » ou de « cheats gratuits », un lien à cliquer, un ton rassurant. Sauf que ce n’est pas un bon plan, c’est une simulation nationale, pensée pour te faire toucher du doigt ce que ressemble une vraie tentative de phishing. L’Opération Cactus a choisi l’approche la plus directe, reproduire les codes d’une attaque pour provoquer un réflexe de méfiance.

Déployée à l’échelle nationale du 19 au 21 mars 2025, la campagne a ciblé 2,5 millions de collégiens et lycéens via leurs ENT. Résultat mesuré, 210 000 élèves ont cliqué, soit près d’un sur 12. Derrière, une vidéo de sensibilisation et un message clair, se protéger, comprendre les risques, et rappeler que certains actes de cybermalveillance peuvent entraîner des sanctions pénales.

Le phishing reste la première menace cyber en France

Le point de départ, c’est un constat partagé par les acteurs publics, l’hameçonnage est présenté comme la première menace cyber en France, et les usages scolaires numériques sont devenus une surface d’attaque. Les ENT concentrent des informations personnelles, des échanges avec l’établissement, parfois des documents administratifs. Pour un attaquant, c’est un terrain efficace, parce que le message « vient de l’école », donc tu baisses la garde.

L’Opération Cactus s’inscrit dans un contexte où des tentatives visant les ENT ont été relevées dans plusieurs académies, avec un niveau de maturité cyber jugé préoccupant chez les plus jeunes. Le raisonnement est simple, si tu apprends sur un cas concret, tu retiens mieux que sur une affiche. D’où le choix d’une simulation « grandeur nature », au plus près des habitudes, sur les canaux que tu utilises déjà.

Mais il faut aussi le dire, une simulation, même pédagogique, marche sur une ligne fine. Si le message est trop réaliste, certains peuvent se sentir piégés ou culpabilisés. Si le message est trop gentil, il n’imprime pas. Le pari de Cactus, c’est d’assumer le choc contrôlé, puis d’encadrer avec des contenus de prévention et des « fiches mémo » pour apprendre à repérer les signaux faibles d’un phishing.

Du 19 au 21 mars 2025, 210 000 clics mesurent la vulnérabilité

Les chiffres donnent une photographie brute. Sur 2,5 millions d’élèves exposés à la simulation, 210 000 ont cliqué, près d’un sur 12. Ce taux ne dit pas « qui est naïf », il dit surtout à quel point un message bien calibré peut fonctionner, surtout quand il s’appuie sur une promesse adaptée à la cible, ici des contenus liés aux jeux, « crackés » ou de la triche.

Le mécanisme est classique, un appât, un lien, une redirection, puis un message d’explication. La différence, c’est l’objectif, mesurer et sensibiliser, pas voler un mot de passe. Dans un vrai scénario, le clic peut déclencher une collecte d’identifiants, une prise de contrôle de compte, ou une diffusion à d’autres contacts. Là, la campagne transforme le clic en moment d’apprentissage, avec une courte vidéo et des messages forts.

La nuance, c’est que le clic n’est qu’une étape. Dans la vraie vie, l’attaquant cherche souvent la suite, saisir un identifiant, réutiliser un mot de passe, ou pousser à installer un fichier. La campagne, elle, met l’accent sur le réflexe initial, ne pas cliquer, vérifier, signaler. Le chiffre de 210 000 sert donc aussi d’indicateur pour ajuster la prévention, et pour rappeler que la sécurité n’est pas un sujet « d’experts », c’est une compétence de base.

CNIL, Éducation nationale et Parquet de Paris coordonnent une pédagogie assumée

Ce qui frappe dans Cactus, c’est l’ampleur du collectif mobilisé. On retrouve le ministère de l’Éducation nationale, le ministère de l’Intérieur via COMCYBER-MI, le ministère de la Justice avec le Parquet de Paris et la direction des affaires criminelles et des grâces, plus Cybermalveillance. gouv. fr, la CNIL, et des partenaires comme France Télévisions, l’UNAF ou l’association e-Enfance/3018. Ce n’est pas un « module scolaire » isolé, c’est une action d’État.

La CNIL inscrit sa participation dans ses priorités, protection des mineurs et cybersécurité. La campagne rappelle aussi un angle souvent oublié par les adolescents, l’environnement numérique n’est pas hors-sol. Certains comportements, quand ils basculent dans la cybermalveillance, exposent à des sanctions pénales. Le message est volontairement frontal, pas pour faire peur gratuitement, mais pour reconnecter les usages quotidiens à des règles concrètes.

Avant le déploiement national, l’opération a été expérimentée en 2024 dans les Yvelines, puis sur le territoire de l’académie d’Orléans-Tours. Cette progressivité compte, parce qu’elle permet de tester le format, le ton, et l’acceptabilité. La critique qu’on peut formuler, c’est qu’une campagne ponctuelle ne suffira pas si elle n’est pas relayée dans la durée, en classe, à la maison, et dans les procédures des établissements pour signaler, réagir, et renforcer les bons réflexes.