Un programme de sept activités, pas une minute de cours
Le 20 avril, dans les locaux de Cybersup sur la terrasse Bellini à Puteaux, une quarantaine d’adolescents de la quatrième au lycée découvraient les bases de la cybersécurité sans ouvrir un seul manuel. Le principe de Cyberpark est clair : sept activités réparties sur deux jours, à raison de deux ou trois par demi-journée, chacune ancrée dans les usages réels des jeunes participants.
La matinée débute par un kick off d’une heure environ, pour briser la glace et poser les fondamentaux. « On essaie de mettre tout le monde à l’aise avant d’aller dans le concret », résume Timour Quoico-Treille, étudiant en troisième année de bachelor chez Cybersup, qui animait pour la première fois l’événement. Puis les activités s’enchaînent, dans une progression pensée pour ne jamais décrocher l’attention d’un public de 14 à 18 ans.
Un escape game avec mallette, coffre-fort et clés USB
Le clou du programme est un escape game d’une heure trente entièrement physique. Les participants doivent déverrouiller un ordinateur en collectant des indices disséminés dans la pièce : des feuilles, des post-it, une mallette, un coffre-fort, des clés USB. L’exercice mobilise des compétences d’OSINT, l’investigation en sources ouvertes, sans que le terme ne soit jamais prononcé. « L’idée, c’est de leur montrer que la cybersécurité, c’est souvent juste de la logique, de la réflexion, parfois du bon sens », explique Timour Quoico-Treille. « Et de déconstruire l’image du hacker en capuche. »
L’activité a été coconstruite avec le partenaire entreprise Advens. La pépite marseillaise Mailinblack, de son côté, a développé un atelier dédié au phishing : les participants doivent identifier si un site web est authentique ou frauduleux, en repérant les marqueurs révélateurs d’une tentative d’hameçonnage. Laurent Biagiotti, directeur pédagogique de Cybersup, insiste sur la dimension pratique de cet atelier : « On leur montre quels sont les indicateurs qui permettent de distinguer un vrai site d’un faux. C’est quelque chose qu’ils rencontrent tous les jours sans le savoir. »
Détecter les fausses images à l’ère de l’IA générative
Un autre atelier, particulièrement en phase avec l’actualité, porte sur la détection d’images générées par intelligence artificielle. Les jeunes sont confrontés à des visuels et doivent déterminer s’ils sont authentiques ou fabriqués, en développant une logique de vérification plutôt qu’en utilisant des outils automatisés. « On ne leur donne pas un outil magique », précise Timour Quoico-Treille. « On leur donne des réflexes : cette photo me choque, j’ai envie de la partager, mais est-ce que j’ai vérifié d’où vient l’article, si cette image a déjà été utilisée ailleurs ? »
La démarche s’inscrit dans une ambition plus large de littératie numérique. « C’est leur attribuer des automatismes », résume-t-il. « Tout le monde peut se faire avoir, même nous. »
Un jeu de cartes contre les cyberattaques, des quiz sur les bons gestes
Le programme comprend également un jeu de cartes façon bataille, dans lequel chaque participant doit protéger son territoire numérique des attaques portées par les autres joueurs. L’activité rend tangibles des mécanismes de cyberattaques et de défense que les jeunes perçoivent habituellement comme abstraits. Des quiz sur plateforme complètent le dispositif, portant sur les bons gestes en cybersécurité au quotidien : gestion des mots de passe, comportements à risque, réflexes de base.
Enfin, une séquence de sensibilisation est consacrée au cyberharcèlement, aux risques liés aux données personnelles et aux dangers plus généraux d’Internet et des smartphones pour les adolescents.
« On couvre vraiment tous les risques d’un jeune », résume Laurent Biagiotti. À l’issue des deux journées, chaque participant repart avec une attestation de formation.
Un paradoxe qui inquiète les professionnels
Derrière la forme ludique se cache un constat préoccupant que les professionnels de la cybersécurité formulent de plus en plus ouvertement. Laurent Biagiotti observe, au fil des promotions entrantes, un paradoxe troublant : « Les jeunes qui arrivent en Bac+1 sont de moins en moins habiles avec un ordinateur. Ils utilisent le même mot de passe sur tous les sites. La culture en cybersécurité n’existe pas. » Et d’ajouter : « C’est comme apprendre à conduire sans passer le code. On apprend à développer un site web, à faire un petit jeu en Python, mais il n’y a pas de fondations éthiques, pas de cadre. »
Pour lui, les cours d’informatique au lycée ne comblent pas ce déficit. Ils vont trop vite vers la technique sans poser les bases de l’usage responsable. Cyberpark vise précisément ce manque, non pas pour former des techniciens, mais pour créer ce que le directeur pédagogique appelle « une culture cyber » : comprendre le média que l’on utilise, identifier ses dangers, savoir comment se protéger.
Des jeunes qui parlent à des jeunes
La singularité de Cyberpark tient aussi à ses animateurs. Ce ne sont pas des formateurs professionnels qui encadrent les ateliers, mais les étudiants de l’école Cybersup eux-mêmes, du Bac+3 au Master, tous volontaires. Certains ont même pris des congés sur leur temps d’alternance pour participer. Pour Timour Quoico-Treille, reconverti après quinze ans dans la grande distribution, animer Cyberpark est un exercice à double sens. « On renforce nos propres acquis. Des jeunes qui n’ont aucune vision préconçue du métier vont nous poser des questions dans un sens auquel on ne s’attendait pas. C’est très utile avant nos soutenances. »
La transmission entre pairs facilite aussi l’accessibilité du discours. « Il faut parler leur langage, opérer des ponts avec les jeux vidéo, avec ce qu’ils utilisent vraiment », explique-t-il. « L’objectif, c’est d’aligner des générations différentes pour leur faire comprendre des choses importantes. »
Son message principal pour les deux jours ? « La cybersécurité concerne tout le monde. On n’a pas besoin d’avoir fait des grandes études de mathématiques. Ce n’est pas une filière verrouillée. Et il n’y a pas que des techs dans la tech. » Une phrase qui résume, en creux, l’ambition de Cyberpark : ouvrir un secteur qui recrute massivement, mais peine encore à se rendre visible auprès du grand public.
Une école qui sort de ses murs
Cybersup a été fondée il y a deux ans, dans le giron de Frojal, maison mère du groupe Lefebvre Dalloz, en partenariat avec La Plateforme, présente depuis six ans à Marseille. Implantée à La Défense, elle forme des étudiants du Bac+3 au Bac+5 en alternance, avec une pédagogie axée à 70 % sur la pratique et une intégration précoce de l’intelligence artificielle dans tous les cursus. « Ce qui nous démarque, c’est la mise en place de l’IA à travers la cybersécurité », explique Laurent Biagiotti. « Le but n’est pas d’utiliser ChatGPT comme tout le monde, c’est de créer des workflows, des automatisations, d’utiliser l’IA en copilote de manière maîtrisée. »
Cyberpark prolonge cette philosophie vers l’extérieur. Lancé en 2024, le programme a sensibilisé plus de 1 300 adolescents à Marseille, Lille et Roubaix avant d’arriver en Île-de-France. Pour cette première édition parisienne, la demande a largement dépassé les attentes : l’école visait entre 20 et 30 participants, 70 candidatures sont arrivées, 42 ont finalement été acceptées. Une étudiante a d’ores et déjà demandé des informations sur le cursus de première année. « On ne va pas se mentir, c’est un des buts », concède Laurent Biagiotti. « Mais ce n’est pas la finalité. »
Vers une édition à chaque période de vacances scolaires
« On va faire une mobilisation pour chaque période de vacances scolaires », annonce Laurent Biagiotti. « Le but n’est pas d’avoir toujours les mêmes activités. Nous allons en recréer d’autres. » Des serious games sur la gestion de crise, déjà utilisés dans les bootcamps internes de l’école, pourraient rejoindre le programme à mesure que le public vieillit et monte en maturité. Un volet dédié à la vérification des sources à l’ère de l’IA générative est également en cours d’élaboration.
Cybersup explore aussi des partenariats avec des fondations d’entreprise pour élargir le déploiement, avec un objectif explicite : atteindre davantage de jeunes femmes dans un secteur qui en compte encore trop peu. « Il y a très peu de femmes dans les métiers de la cyber. Cyberpark, c’est aussi montrer que ce secteur est ouvert à tous les profils », souligne Laurent Biagiotti.
Reste une conviction que l’initiative cherche, atelier après atelier, à transformer en réflexe collectif : dans un monde où les attaques numériques touchent aussi bien les entreprises du CAC 40 que les smartphones des collégiens, la culture cyber n’est plus une option. Elle est un fondamental.
Jean-Luc Raymond
