Piratages de l'Éducation nationale : trois affaires distinctes, à ne pas confondre

Trois intrusions confirmées en 2026, plus une revendication en cours de vérification

Depuis mars, le ministère de l'Éducation nationale a communiqué sur trois incidents différents, documentés par des communiqués ministériels pour ceux d'avril et de juillet, et par la presse spécialisée pour celui de mars. En mars, le logiciel de gestion des ressources humaines Compas a été visé, exposant les données d'environ 243 000 agents, essentiellement des enseignants et des stagiaires. En avril, le ministère a reconnu une fuite touchant des élèves, par un service annexe à ÉduConnect. Fin juillet, une troisième intrusion a frappé le système de formation des personnels.

S'y ajoute une quatrième séquence. Le 17 août, un attaquant se présentant sous le pseudonyme ZeroBytes a publié une revendication portant sur un volume bien plus large, élèves compris. Le ministère rattache la mise en ligne de ces fichiers à l'intrusion de juillet, sans valider pour autant le volet élèves. Il y a donc trois affaires confirmées et une revendication partiellement rattachée à la troisième, et non un piratage unique.

Ce que le ministère a confirmé sur l'intrusion du 25 juillet

Le communiqué du 31 juillet est précis. L'accès frauduleux a eu lieu dans la nuit du 25 juillet 2026, après l'usurpation d'un compte professionnel, et il visait le système d'information dédié à la formation des personnels. Dès le 26 juillet, le centre opérationnel de sécurité du ministère était alerté, l'accès externe au système a été suspendu et une cellule de crise activée.

Les données susceptibles d'avoir été exfiltrées concernent les agents ayant exercé en académie depuis 2001, avec des éléments d'identité, le statut et les fonctions. Pour une partie d'entre eux s'ajoutent l'adresse postale, le numéro de téléphone et le numéro de sécurité sociale. Le ministère écrit que ce système « ne contient ni données bancaires, ni mots de passe, ni données relatives aux élèves ». Le ministère indique avoir déposé plainte et saisi l'ANSSI ainsi que la CNIL. Son communiqué du 18 août précisera qu'il s'agit d'une plainte contre X auprès du parquet de Paris et qu'une enquête judiciaire est en cours. Aucun chiffre n'a été communiqué, le ministère évoque « un nombre important » d'agents.

Pourquoi 346 millions de lignes ne font pas 346 millions de victimes

La revendication d'août avance 346 178 591 lignes brutes réparties dans 2 500 à 2 600 fichiers selon les relais, soit 43 Go. Ce chiffre a beaucoup circulé, il demande de la prudence. Une base scolaire produit plusieurs lignes par personne et par année, une pour chaque note, chaque absence, chaque inscription. L'attaquant annonce lui-même, doublons retirés, 1 224 291 élèves distincts et 4 350 358 matricules de personnels. Ce second nombre dépasse largement les effectifs du ministère, ce qu'une profondeur d'historique de plus de vingt ans pourrait expliquer, mais qui invite à la réserve.

Les fichiers cités portent des noms de systèmes réels, comme BE1D pour le premier degré, Sconet pour le secondaire ou I-Prof pour la carrière des enseignants, ainsi que deux annuaires d'authentification des académies de Créteil et Versailles, environ 602 000 entrées qui contiendraient des empreintes de mots de passe. Une empreinte n'est pas le mot de passe lui-même, mais sa transformation en une suite de caractères, qui peut parfois être cassée hors ligne. À ce stade, aucune vérification indépendante n'a confirmé ces volumes. Les rédactions spécialisées qui ont décrit l'échantillon rappellent toutes que les chiffres restent à vérifier, et qu'un échantillon publié ne prouve pas le volume annoncé. Ces chiffres, malgré le nombre d'articles qui les reprennent, remontent tous au même message de revendication de l'attaquant.

ÉduConnect est une autre affaire, et elle remonte à avril

Les moteurs de recherche mélangent volontiers la fuite ÉduConnect et celle de l'été. Ce sont deux dossiers séparés. Le 14 avril 2026, le ministère a confirmé une cyberattaque ciblée ayant entraîné la fuite de données d'élèves. L'origine remonte à fin 2025, avec l'usurpation du compte d'un personnel habilité, combinée à une faille du service de gestion des comptes élèves annexe à ÉduConnect, identifiée en décembre 2025 et exploitée juste avant sa correction.

Les données en cause sont le prénom, le nom, l'identifiant ÉduConnect, l'établissement et la classe, l'adresse email si elle avait été renseignée, et le code d'activation pour les comptes pas encore activés. Point important pour les familles à l'approche de la rentrée : le ministère indique que les comptes déjà activés au moment de l'attaque ne sont pas compromis et peuvent continuer à être utilisés, et que les codes des comptes non activés ont été intégralement réinitialisés.

Les réflexes qui découlent des données réellement exposées

Le numéro de sécurité sociale fait partie, pour une partie des agents, des données que le ministère dit susceptibles d'avoir été exfiltrées en juillet. Il ne se change pas, et il suffit à rendre crédible n'importe quel appel se réclamant de l'Assurance maladie, d'une mutuelle ou du rectorat. La vigilance doit donc s'inscrire dans la durée, pas seulement sur quelques semaines.

Sur les mots de passe, la réponse dépend de l'affaire. Le ministère indique que le système visé en juillet n'en contenait aucun. Mais des empreintes de mots de passe sont revendiquées dans les annuaires de Créteil et Versailles, et le ministère rattache justement la mise en ligne de ces fichiers à l'intrusion de juillet, sans avoir arrêté le périmètre exact. Si vous relevez de l'une de ces deux académies, changez ce mot de passe en priorité. Ailleurs, rien n'indique d'urgence à ce stade, mais le geste reste peu coûteux, et il s'impose si vous réutilisez ce mot de passe sur un autre service.

La période de rentrée est enfin très favorable à l'hameçonnage, ces messages frauduleux qui imitent une administration pour vous soutirer des informations. Le ministère ne demande jamais par courriel, par téléphone ou par message vos identifiants, mots de passe ou coordonnées bancaires. Tout message suspect doit être signalé aux autorités académiques, sans y répondre ni cliquer sur ses liens.

Ce que nous ne pouvons pas vérifier

Le nombre d'agents touchés par l'intrusion de juillet reste inconnu, le ministère ne l'a pas chiffré, et il n'a pas confirmé que l'exfiltration avait effectivement eu lieu : il écrit que l'intrusion « a pu conduire » à une exfiltration et parle de données « susceptibles d'avoir été exfiltrées ». L'attaquant, lui, situe l'intrusion au 15 juillet là où le ministère indique la nuit du 25 : nous retenons la date officielle. L'authenticité complète et l'étendue réelle du lot diffusé en août ne sont pas établies, les expertises techniques se poursuivent. Nous ne savons pas si les données d'élèves revendiquées proviennent de l'intrusion du 25 juillet, de l'affaire ÉduConnect ou d'une compromission supplémentaire. Le nombre exact d'élèves concernés en avril n'a jamais été publié. Une source spécialisée date par ailleurs l'intrusion du 15 juillet, là où le ministère indique la nuit du 25 juillet, et nous retenons la date officielle. Enfin, rien ne permet d'affirmer publiquement que ZeroBytes est l'auteur de l'intrusion de juillet, le ministère n'a désigné aucun responsable.

En résumé, notre degré de confiance n'est pas le même partout. Il est élevé sur l'intrusion du 25 juillet et sur l'affaire ÉduConnect d'avril, toutes deux documentées par des communiqués officiels que nous avons lus intégralement. Il est faible sur le contenu du lot revendiqué le 17 août : les volumes, les noms de fichiers et les 602 000 entrées d'annuaires proviennent tous du même message de revendication, relayé par plusieurs rédactions mais sans vérification indépendante à ce jour. Faible également sur le volet élèves, que le ministère n'a pas validé.

Sources : Ministère de l'Éducation nationale ↗ · Ministère de l'Éducation nationale ↗ · Ministère de l'Éducation nationale ↗ · Next ↗ · Le Monde Informatique ↗ · ZATAZ ↗ · Clubic ↗ · Cyberattaque.org ↗ · IT-Connect ↗ · Tom's Guide ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.