Du 23 au 27 mars 2026, l’Opération Cactus a envoyé un faux message d’hameçonnage à 9,2 millions de personnes : élèves, parents et personnels de l’Éducation nationale. Résultat : 1 096 692 clics, soit 12 % des destinataires.
Lancée en 2025 par le ministère de l’Éducation nationale, l’opération s’est élargie cette année aux personnels et aux parents. Selon ses organisateurs, elle a touché « 1 Français sur 6 ».
Une simulation de phishing envoyée par les ENT
Le dispositif a visé 3,5 millions de collégiens et lycéens, près de 5 millions de parents d’élèves et plus de 500 000 enseignants et personnels administratifs. Le faux message est donc parti des espaces numériques de travail (ENT) ou des messageries habituelles.
Chaque personne qui a cliqué a ensuite été redirigée vers une vidéo pédagogique sur les bons réflexes. Le piège servait donc de point d’entrée à la formation.
Le chiffre de 12 % mérite pourtant d’être lu tel quel. Plus d’un million de clics sur un message envoyé par un canal de confiance montre que l’expéditeur familier désarme la vigilance. Un ENT piraté offre donc le même levier à un vrai attaquant.
Qui a piloté l’Opération Cactus
Le ministère de l’Éducation nationale a travaillé avec le ministère de l’Intérieur, par son commandement du ministère de l’Intérieur dans le cyberespace (COMCYBER-MI), et avec le ministère de la Justice : la section de lutte contre la cybercriminalité du parquet de Paris et la direction des affaires criminelles et des grâces. Cybermalveillance.gouv.fr, la Commission nationale de l’informatique et des libertés (CNIL), France Télévisions, l’UNAF et l’association e-Enfance/3018 complètent le partenariat.
Une enquête de septembre 2025 éclaire aussi le besoin. Elle porte sur des élèves de CM1 à la 6e des territoires numériques éducatifs. Sept élèves sur dix se disent sensibilisés à la cybersécurité. Toutefois, un élève sur trois déclare avoir déjà été exposé à des actes de cybermalveillance, comme des courriels ou SMS frauduleux ou un piratage de compte. Enfin, un sur cinq n’a pas entendu parler des menaces cyber, ou pas assez.
Ce que dit le RGPD d’une simulation de phishing sur des mineurs
En effet, envoyer un faux message à des millions d’élèves mineurs reste un traitement de données personnelles. L’article 6 du RGPD exige une base légale. Les sources publiques ne la précisent pas ; nous y voyons la mission d’intérêt public de l’article 6.1.e, cohérente avec une action du ministère.
L’article 8, sur le consentement des mineurs aux services de la société de l’information, ne s’applique donc pas à un traitement fondé sur cette mission. En revanche, l’article 35 sur l’analyse d’impact garde tout son sens : des données de 3,5 millions d’élèves, utilisées pour une simulation d’attaque, appellent des garanties renforcées. La CNIL figure parmi les partenaires de l’opération.
Pour un établissement qui organise sa propre campagne, la conséquence est donc simple. Documentez la base légale, limitez les données collectées au clic lui-même et décidez d’avance de leur durée de conservation.
Ce que les établissements font dès maintenant
D’abord, rappelez les réflexes de base aux personnels comme aux élèves. Ne cliquez pas sur un lien et n’ouvrez pas une pièce jointe d’un expéditeur inconnu. Vérifiez l’adresse de l’expéditeur, puis contactez directement l’organisme supposé émetteur en cas de doute. Signalez enfin toute tentative sur Cybermalveillance.gouv.fr.
Ensuite, vérifiez la sécurité de votre ENT au regard de l’article 32 du RGPD et faites connaître la procédure de notification des violations prévue aux articles 33 et 34. Notre tutoriel pour notifier une violation de données personnelles détaille les étapes.
Le vol de comptes de messagerie suit souvent le même chemin qu’un faux message, comme le montre notre analyse du phishing visant les comptes Microsoft 365. Répétez les exercices plusieurs fois par an : une campagne isolée ne permet pas de mesurer un progrès.
Sources
Les chiffres de participation et de clics viennent de l’article de Cybermalveillance.gouv.fr Opération Cactus 2026 : renforcer durablement la sensibilisation de la communauté éducative face au hameçonnage.
Le partenariat, l’historique de l’opération et l’enquête auprès des élèves figurent sur la page de la CNIL Opération Cactus 2026 : renforcer durablement la sensibilisation de la communauté éducative aux cybermenaces.
Les articles 6 et 8 du RGPD sont consultables sur la page de la CNIL Chapitre 2 du RGPD : principes.
