Il est deux heures du matin. Un mail de l’école de ma fille arrive. Je regarde les destinataires : la liste complète des adresses des parents, visible par tout le monde. La mienne aussi.
Je pense à ce que contient ma boîte mail : des échanges privés, des documents, des liens pour retrouver l’accès à mes comptes. Puis à ce qui arriverait si quelqu’un entrait dans celle d’un autre parent. Il n’aurait pas besoin de connaître ma famille. Le mail ferait les présentations.
Tu attends un document. Quelqu’un attend ton clic.
Ce n’est pas une attaque à inventer pour demain. Des campagnes ont déjà détourné de vraies conversations et utilisé des PDF pour diffuser QakBot, un logiciel malveillant, notamment en 2023 [3]. Le récit ci-dessous transpose ces mécanismes au contexte scolaire ; je n’ai constaté aucune attaque contre l’école de ma fille.
Ce sont mes réflexions de parent : je ne cherche ni à détruire ni à soutirer de l’argent. Une personne extérieure à l’école pourrait exploiter ces informations sans jamais nous prévenir. Voici une reconstitution où l’attaque aboutit, sur un ordinateur Windows.
Reconstitution · Étape 1 sur 8
La porte d’entrée n’est pas chez toi.
Un autre parent s’est fait voler l’accès à sa messagerie. Quelqu’un lit ses échanges sans répondre ni se manifester. Cette personne n’a aucun lien avec l’école. Elle a pourtant sous les yeux ses messages et les adresses des familles.
Côté technique
Le point de départ est un compte déjà compromis, avec accès à ses messages. Une adresse visible en CC ne permet pas, à elle seule, de pirater une boîte.
Reconstitution · Étape 2 sur 8
Il ne te connaît pas. Il connaît la conversation.
Dans un échange sur une sortie scolaire, il retrouve le sujet, les réponses et les destinataires. Tu n’es plus une adresse choisie au hasard : tu es un parent qui attend des informations sur cette sortie.
Côté technique
Les campagnes de détournement de conversation réutilisent des échanges volés. Le contexte scolaire est ajouté pour cette reconstitution ; les campagnes citées visaient notamment des échanges professionnels.
Reconstitution · Étape 3 sur 8
La réponse est nouvelle. Ta confiance est ancienne.
Tu reçois une réponse dans ce fil, depuis le compte du parent compromis. Elle contient un PDF présenté comme un document lié à la sortie. L’adresse t’est familière, l’historique aussi. Tu ouvres le fichier.
Côté technique
Ici, l’attaquant dispose aussi du droit d’envoyer depuis le compte. C’est une variante du détournement de conversation, ou email thread hijacking : l’historique rassure, mais ne garantit pas l’identité de la personne derrière le nouveau message.
Reconstitution · Étape 4 sur 8
Le PDF n’est pas le document. C’est l’appât.
Le PDF affiche un bouton censé donner accès au document. Tu cliques. Un autre fichier est téléchargé. Tu penses toujours récupérer les informations de l’école ; tu viens de quitter le simple document pour suivre le parcours choisi par l’attaquant.
Côté technique
Dans les campagnes QakBot citées, le PDF conduisait à une archive contenant un fichier malveillant. L’ouverture du PDF seule ne déclenchait pas toute l’infection : d’autres actions de la victime étaient nécessaires.
Reconstitution · Étape 5 sur 8
Tu crois ouvrir un fichier. Tu lances un programme.
Sur ton PC, tu ouvres le fichier récupéré en pensant enfin consulter le document. Dans cette reconstitution, les protections ne l’arrêtent pas : le programme s’exécute et installe le cheval de Troie. Ce n’est plus une histoire de mail indésirable.
Côté technique
Un cheval de Troie fait passer une action malveillante pour quelque chose de légitime. La chaîne documentée utilisait un script Windows pour charger QakBot. Un blocage du téléchargement ou de l’exécution peut casser cette chaîne.
Reconstitution · Étape 6 sur 8
Tu fermes le document. Pas l’accès.
Tu passes à autre chose. Pendant ce temps, le logiciel peut voler des messages, des mots de passe ou des données de connexion disponibles sur l’appareil. Si tu travailles sur ce même PC, le risque ne s’arrête pas à la sortie scolaire.
Côté technique
QakBot a notamment des capacités de vol d’identifiants, de cookies et de courriels. Les données réellement accessibles dépendent des comptes, des applications et des protections de l’appareil ; une infection ne donne pas automatiquement accès à tout.
Reconstitution · Étape 7 sur 8
Tes proches deviennent les prochains destinataires.
Tes échanges récupérés peuvent servir à piéger d’autres personnes. Un client, un collègue ou un proche reçoit à son tour un message qui reprend une conversation connue. Ce qui t’a rassuré peut maintenant rassurer quelqu’un d’autre.
Côté technique
Le vol de correspondance alimente de nouveaux détournements de conversation. Réutiliser un historique n’implique pas forcément de contrôler la boîte de son auteur ; envoyer depuis ton vrai compte nécessite un accès supplémentaire.
Reconstitution · Étape 8 sur 8
Tu voulais un PDF. Tu dois gérer un incident.
Il faut faire examiner l’ordinateur, sécuriser les comptes touchés et prévenir les personnes exposées. Dans certaines attaques, cet accès sert ensuite à installer un rançongiciel : les fichiers deviennent inutilisables, une rançon est réclamée. Le document scolaire n’était que le début.
Côté technique
QakBot a servi de point d’entrée à d’autres logiciels malveillants, dont des rançongiciels. Ce prolongement est documenté, pas automatique. Les protections, les droits limités et des sauvegardes isolées peuvent réduire les conséquences.
Une attaque connue. Pas besoin d’IA.
Ce récit combine l’hameçonnage ciblé [1], le détournement de conversation [2] et une infection amorcée par un PDF [3]. Ces mécanismes ont déjà servi. Le FBI a documenté l’utilisation de QakBot pour diffuser d’autres logiciels malveillants, dont des rançongiciels [4].
Un LLM peut aider à trier ou rédiger, une API à communiquer avec un service et MCP à connecter des outils. Aucun ne donne accès à une boîte par magie. Et aucun n’est nécessaire à cette attaque : la relation de confiance existe déjà.
Tu n’as rien ouvert. Tes données ont quand même fuité.
En France, le fisc et l’Éducation nationale viennent d’en donner des exemples. Le 14 août 2026, la DGFiP a confirmé le vol de données concernant des particuliers et des professionnels, tout en précisant que leurs espaces personnels et leurs mots de passe n’avaient pas été compromis [5]. Le ministère de l’Éducation nationale a, lui aussi, signalé une intrusion survenue dans la nuit du 25 juillet, puis alerté le 18 août sur les risques d’hameçonnage et d’usurpation d’identité liés aux données exposées [6].
Tu peux n’avoir cliqué sur aucun lien piégé et voir malgré tout tes données circuler. La fuite peut venir d’une administration, d’un prestataire ou d’un autre organisme qui les détient. Ces incidents ne sont pas attribués au PDF du scénario : ils montrent une autre porte d’entrée, chez quelqu’un d’autre.
J’ai même commencé à me méfier des mails qui citent mon prénom. Pas parce qu’un « Bonjour Cédric » prouve une arnaque, mais parce qu’il ne prouve plus qu’un mail est légitime. Mon prénom peut venir d’une fuite, d’une liste commerciale ou simplement d’une information publique. Connaître quelque chose sur moi ne prouve pas qu’on est la personne qu’on prétend être.
Le même ressort que l’arnaque au président
En entreprise, un faux dirigeant demande un virement urgent et confidentiel : la personne croit obéir à son patron, l’argent part chez un escroc. C’est l’arnaque au président. Ici aussi, une relation familière remplace la vérification. Une demande inhabituelle se confirme par un autre canal connu, pas en répondant au message suspect.
C’est aussi pour ça que je sépare le pro du privé
Il y a plusieurs mois, j’ai demandé à la directrice de ne plus utiliser mon adresse professionnelle. Elle l’a fait. Les envois en copie visible sont un autre problème : remplacer mon adresse ne justifie pas de la distribuer.
Quand un message parle de ma fille, je peux vouloir répondre vite et baisser la garde. Je ne veux pas mêler ce réflexe à mes échanges clients. Et si tout arrive dans le même compte, un accès volé peut exposer les deux vies. Des comptes distincts limitent ce mélange ; deux alias ne suffisent pas, et partager le même appareil garde des risques communs.
Moi aussi, je peux me tromper. Être développeur ou comprendre la technique ne vaccine pas contre une erreur d’attention. Je construis des parcours de communication ; prendre soin des informations qu’ils font circuler en fait partie.
Si un compte tombe, qu’est-ce qu’il emporte avec lui ?
Je ne sais ni si, ni quand tu seras piraté. En revanche, « ça ne m’arrivera pas » n’est pas une protection. Une personne qui entre dans une boîte n’a pas forcément les mêmes intentions que moi.
Avant ton prochain mail collectif, vérifie qui doit vraiment voir les adresses. Pour une information ponctuelle où les destinataires n’ont pas à se connaître, utilise la CCI et teste l’envoi avec deux boîtes que tu contrôles : l’adresse cachée ne doit pas apparaître dans la copie reçue par l’autre.
La CCI n’aurait pas bloqué le cheval de Troie. Elle aurait évité de lui offrir cette liste dans chaque copie. Ce n’est pas toute la sécurité. C’est une exposition inutile en moins.
Références
[1] Hameçonnage ciblé. Cybermalveillance.gouv.fr — Reconnaître un mail de phishing, section spear phishing.
[2] Comptes compromis et conversations détournées. MITRE ATT&CK — T1586.002, Compromise Accounts: Email Accounts.
[3] Campagnes réelles utilisant des PDF. Kaspersky, 17 avril 2023 et Trend Micro, 19 avril 2023 : échanges détournés, PDF-leurres et chaîne de téléchargement puis d’exécution. Le contexte scolaire du récit est une transposition, pas un incident rapporté par ces sources.
[4] Conséquences et démantèlement de QakBot. FBI — Opération internationale contre QakBot, août 2023. Ce cas documente des attaques passées ; il ne démontre pas qu’une campagne identique vise cette école aujourd’hui.
[5] Vol de données au fisc français. Ministère des Finances, communiqué du 14 août 2026 ; point d’information de la DGFiP mis à jour le 27 août 2026.
[6] Intrusion à l’Éducation nationale française. Communiqué du 18 août 2026, relatif à l’intrusion du 25 juillet et aux risques de fraude associés.