Messageries piratées, menaces d'attentats sur internet : ce que l'on sait des évacuations d'une vingtaine d'établissements scolaires à travers la France

Qui se cache derrière ces menaces envoyées aux quatre coins de la France ? Une vingtaine d'établissements scolaires ont reçu des menaces d'attentat par mail, sur leurs espaces numériques de travail (ENT), qui ont été piratés. Des menaces repérées aussi sur des groupes Whatsapp de parents d'élèves. Si le ministère de l'Education nationale a demandé aux établissements de systématiquement déposer plainte, une enquête a été ouverte par la section cyber du parquet de Paris. franceinfo fait le point sur cette affaire. 

>> REPLAY - Cyberattaques : qui en veut à nos hôpitaux ? Le débat du Talk franceinfo

Une vingtaine d'établissements scolaires visés

Étrange rentrée scolaire pour 2023 : lundi 2 et mardi 3 janvier, jour de rentrée pour les élèves, une vingtaine d'établissements scolaires en France, notamment dans l'académie de Lille, ont été évacués à la suite de menaces d'attentat à la bombe ou à l'explosif proférées sur des espaces numériques de travail piratés. Un "ENT", bien connu des parents depuis désormais plusieurs années, est un portail internet qui sert à relier parents, enseignants et élèves, et à communiquer et échanger des informations sur la vie des collèges et des lycées.

Selon le ministère de l'Éducation nationale, contacté par franceinfo, "une vingtaine d’établissements (collège et lycées) ont été concernés en France Métropolitaine par ces messages porteurs de menaces d’attentat, principalement à Lille, et dans une moindre mesure à Créteil, Grenoble, Versailles, Normandie, Lyon." Et le ministère de préciser qu'en plus des ENT, "ces messages ont été repérés par des parents sur WhatsApp, Snapchat." 

Que disent ces menaces ?

Prises très au sérieux, ces menaces ont mené à des levées de doutes de la part des autorités en Seine-et-Marne, en Bretagne, à Rillieux-la-Pape (Rhône), Marseille (Bouches-du-Rhône), Caen (Calvados) ou encore à La Madeleine (Nord) et Carvin (Pas-de-Calais), où par exemple, des démineurs sont directement intervenus. Le parquet de Béthune avait d'ailleurs ouvert mardi une enquête du chef de "menaces de commettre un crime". Aucune trace d'explosif n'a été constatée dans le périmètre qui recense un lycée, un collège et une école. 

Il s'agit d'un message alarmiste d'abord posté sur l'espace numérique de travail sur une menace d'attentat à la bombe ou à l'explosif. Celui-ci circule alors parmi les élèves et leurs familles, qui alertent donc les services de police et les académies. Ces messages sont ensuite propagés sur les réseaux sociaux et notamment sur Snapchat par les élèves. Selon France Bleu, ces menaces annonçant vouloir faire sauter l'établissement ne le visent pas explicitement. Dans ces messages, le nom du collège ou du lycée n’est jamais cité, ce qui laisse penser aux enquêteurs qu’il s’agit d’un "mail type", diffusé par des pirates informatiques.

Des messages provenant de comptes "piratés"

Plusieurs interpellations ont eu lieu, comme à Lille, où, lundi, un élève d'un lycée soupçonné d’être l’auteur des menaces a été relâché : son compte ENT ayant adressé un mail aurait en fait été piraté.

Un modus operandi qui se répète selon les enquêteurs : les expéditeurs des mails ne sont pas les auteurs. À Marseille, selon une source proche du dossier à franceinfo, il s’agit là aussi d’une usurpation de la boite mail d’un élève de l’établissement. "Nous avons effectivement compris qu’il s’agissait d’une pratique déjà constatée dans d’autres secteurs en France, mais en l'état, c’est ce malheureux élève et ses parents qui sont les premières victimes de cette usurpation. Ce qui est déjà un vrai problème", indique-t-on. Et à la question si cela peut être le même hacker pour tous les établissements, la réponse est claire : "Certainement, c’est le même message. Seul l’horaire change". 

Une enquête ouverte par le parquet de Paris

Mercredi, face au phénomène, une enquête a été ouverte par la section cyber du parquet de Paris, a appris mercredi franceinfo. Les parquets de Meaux, Lille et Saint-Malo se sont dessaisis au profit du parquet de Paris : les investigations sont désormais confiées à l'Office central de lutte contre la criminalité liée aux technologies de l'information et de la communication (OCLCTIC). L'enquête porte sur des faits qualifiés à ce stade de menaces de mort et atteintes à un système automatisé de données, ajoute le parquet de Paris. 

De leur côté, les rectorats, ainsi que le ministère, demandent la plus grande vigilance aux chefs d’établissements. Dans un communiqué, le ministère indique avoir mis en place une "procédure adaptée" avec une prise de contact avec la préfecture et les forces de sécurité intérieures pour "évaluation de la menace", un dépôt de plainte et une enquête déclenchée par les services de police ou de gendarmerie. Le ministère précise que "la préfecture peut décider d’une intervention d’une équipe de déminage selon le degré de sérieux attribué à la menace, éventuellement l'évacuation et la suspension des cours le temps que la menace soit écartée" avec l'envoi possible d'équipages de police pour "sécuriser l’établissement".