La messagerie académique Orléans-Tours constitue le canal principal de communication pour plusieurs dizaines de milliers de personnels de l’Éducation nationale répartis sur six départements. Depuis la généralisation progressive de l’authentification renforcée sur la plateforme nationale messagerie.education.gouv.fr, les règles du jeu ont changé. Les tentatives de phishing ciblant les identifiants académiques se multiplient, et un compte compromis peut servir de point d’entrée vers les ENT et les applications métier de toute l’académie.
Phishing ciblé sur les comptes académiques Orléans-Tours : anatomie des attaques récentes
Les campagnes de hameçonnage visant les personnels de l’Éducation nationale ne ressemblent plus aux arnaques grossières d’il y a quelques années. Les courriels frauduleux reprennent la charte graphique des messages institutionnels, mentionnent des services réels (I-Prof, ARENA, Chorus) et utilisent des adresses d’expédition proches des domaines officiels.
A lire également : En 2026, quel est le prix d'une formation de David Laroche et que comprend-elle ?
Le scénario le plus fréquent reste le faux formulaire de connexion. Un mail prétexte une mise à jour de sécurité ou un problème de quota de boîte aux lettres, puis redirige vers une page imitant le portail ac-orleans-tours.fr. L’agent saisit son identifiant et son mot de passe, qui sont immédiatement récupérés par l’attaquant.
La plateforme Cybermalveillance.gouv.fr permet de signaler un mail de phishing directement en ligne, et ce signalement alimente les bases de blocage nationales. Ce réflexe reste sous-utilisé dans le milieu éducatif, alors qu’il contribue à protéger l’ensemble de la communauté académique.
A lire aussi : Comment obtenir votre certificat d'aptitude professionnelle (CAP) en 2026
Authentification forte sur messagerie.education.gouv.fr : ce que cela change concrètement
Depuis 2023-2024, la messagerie professionnelle hébergée sur messagerie.education.gouv.fr déploie progressivement l’authentification à deux facteurs (MFA) pour les personnels. Ce deuxième facteur prend la forme d’une application d’authentification ou d’un code reçu par SMS.
L’objectif est de limiter les compromissions de comptes et les rebonds vers les ENT. Même si un mot de passe est dérobé via un formulaire frauduleux, le pirate ne peut pas se connecter sans le second facteur. Les retours terrain divergent sur la fluidité du déploiement selon les départements de l’académie, mais le principe reste le même partout.
Configurer le second facteur sans se tromper
Lors de la première activation, le portail propose de scanner un QR code avec une application de type FreeOTP ou similaire. Plusieurs agents commettent l’erreur de capturer ce QR code en photo sur leur téléphone personnel sans sauvegarder le code de récupération. En cas de changement de smartphone, l’accès au second facteur est perdu et la procédure de réinitialisation passe par le service d’assistance académique, avec un délai parfois long en période de rentrée.
- Sauvegarder le code de récupération fourni à l’activation, sur un support distinct du téléphone (impression papier conservée en lieu sûr, par exemple)
- Privilégier une application d’authentification plutôt que le SMS, plus vulnérable aux attaques par interception
- Vérifier que l’horloge du téléphone est synchronisée automatiquement, car un décalage de quelques minutes suffit à invalider les codes temporaires
Saisir l’URL manuellement : le réflexe anti-phishing le plus sous-estimé
Parmi toutes les recommandations de cybersécurité, une seule élimine la quasi-totalité des risques de phishing sur la messagerie académique : ne jamais cliquer sur un lien reçu par mail pour se connecter. Taper soi-même l’adresse officielle dans la barre du navigateur (ac-orleans-tours.fr ou messagerie.education.gouv.fr) neutralise les redirections frauduleuses.
Ce conseil figure dans les guides de sécurisation de plusieurs académies. Il paraît simple, mais il se heurte à une habitude ancrée : cliquer sur le lien pour aller plus vite. En contexte de travail, entre deux cours ou deux réunions, la tentation est réelle.
Créer un raccourci plutôt que suivre un lien
La solution la plus pratique consiste à enregistrer un favori dans le navigateur du poste de travail et du téléphone. Le personnel accède alors à sa messagerie académique Orléans-Tours en un clic, sans jamais transiter par un lien reçu dans un courriel. Cette habitude rend les mails de phishing inopérants, quel que soit leur degré de sophistication.
Mot de passe académique : les erreurs qui exposent tout le réseau éducatif
Le mot de passe de la messagerie académique ouvre souvent l’accès à plusieurs services : webmail, ENT, applications de gestion (I-Prof, ARENA). Un seul mot de passe compromis peut donner accès à l’ensemble de ces outils.
La réutilisation du mot de passe académique sur des sites personnels (achats en ligne, réseaux sociaux) représente le risque le plus courant. Si l’un de ces sites subit une fuite de données, les identifiants se retrouvent dans des bases accessibles aux attaquants, qui les testent ensuite sur les portails institutionnels.
- Utiliser un mot de passe unique pour la messagerie académique, distinct de tous les autres comptes personnels
- Opter pour une phrase de passe longue plutôt qu’un mot court complexe (plus facile à retenir, plus difficile à deviner)
- Changer le mot de passe sans attendre en cas de doute sur une tentative de phishing, même si aucune connexion suspecte n’est visible
- Ne jamais communiquer son mot de passe par mail, même à un collègue ou à un service qui en ferait la demande (aucun service légitime ne le demandera)
Transfert automatique vers une boîte personnelle : un risque méconnu des enseignants
De nombreux enseignants de l’académie Orléans-Tours ont configuré un transfert automatique de leur messagerie professionnelle vers leur boîte personnelle (Gmail, Outlook.com, etc.). Cette pratique, héritée des premières années de déploiement des adresses académiques, fait sortir des données professionnelles du périmètre sécurisé de l’Éducation nationale.
Les messages transférés transitent par des serveurs tiers, souvent hébergés hors de France. Un échange contenant des informations sur des élèves ou des données administratives se retrouve alors stocké sur une infrastructure qui n’offre pas les mêmes garanties. Désactiver ce transfert prend quelques secondes depuis les paramètres du webmail Convergence, et c’est l’un des gestes les plus efficaces pour réduire la surface d’exposition.
La sécurisation d’une messagerie académique ne repose pas sur un outil unique, mais sur l’accumulation de gestes simples appliqués systématiquement. L’activation du second facteur d’authentification, la saisie manuelle de l’URL officielle et l’abandon du transfert vers une boîte personnelle forment un socle que chaque personnel de l’académie Orléans-Tours peut mettre en place en moins d’un quart d’heure. Le maillon le plus fragile reste le clic sur un lien frauduleux, et aucune solution technique ne remplacera ce réflexe de vigilance.
