Le groupe ZeroBytes, celui-là même qui a piraté la Direction générale des finances publiques (DGFiP) il y a quelques temps, affirme avoir dérobé 43 gigaoctets de données à l'Éducation nationale. On parle de 1,22 million d'élèves distincts et de 4,35 millions d'identifiants de personnels. C'est la troisième attaque de ce type contre le ministère de l'Education depuis le début de l'année 2026.
L'intrusion a eu lieu dans la nuit du 25 juillet 2026. Le ministère l'a reconnu publiquement le 31 juillet, puis a réagi à nouveau ce mardi 18 août après que le pirate a publié sa revendication sur le réseau social X. Une enquête judiciaire est en cours, l'Anssi et la Cnil ont été saisies. Mais le mal est fait : les données sont déjà en circulation.
Les systèmes visés : formation, annuaires, gestion académique
Si vous êtes enseignant, parent d'élève ou agent du ministère, vous avez probablement croisé l'un de ces systèmes : SCONET (scolarité des élèves), MGI/PELV2 (orientation), I-Prof (gestion RH des enseignants), ou encore les annuaires LDAP académiques. Ce sont ces bases qui ont été compromises, selon la revendication de ZeroBytes.
Le pirate a accédé au système via l'usurpation d'un compte professionnel légitime. Impossible de savoir s'il s'agit d'un hameçonnage réussi, d'identifiants achetés sur le dark web ou d'une faille technique. Toujours est-il que cette technique classique, facilement contrable avec une authentification multifacteur (MFA), est la même que pour l'attaque contre la DGFiP...
Ce que contiennent les fichiers volés
ZeroBytes met en avant 346 millions de lignes techniques dans ses fichiers, il ne s'agit pas de 346 millions de personnes mais de lignes brutes, non dédoublonnées, qui correspondent à des entrées multiples dans les bases de données. En recoupant ces fichiers, le pirate affirme avoir identifié :
- 1,22 million d'élèves distincts
- 4,35 millions d'identifiants de personnels (incluant retraités et anciens agents depuis 2001)
- 602 000 comptes académiques
Côté contenu, on retrouve : noms, prénoms, adresses postales, numéros de téléphone, et pour une partie des personnes concernées, des numéros de sécurité sociale. S'ajoutent des informations professionnelles comme le statut, les fonctions, ou encore les périodes d'exercice en académie. Des données suffisantes pour alimenter des campagnes de phishing ultra-ciblées pendant des mois.
- Le ministère affirme avoir informé individuellement l'ensemble des personnels susceptibles d'être concernés depuis fin juillet.
- Si des données d'élèves sont effectivement confirmées, les représentants légaux (parents) seront informés individuellement. Mais pour l'instant, le ministère poursuit ses vérifications.
- C'est la troisième fuite de l'année pour l'Éducation nationale : en mars, 243 000 agents ont été touchés via le portail RH Compas. En avril, 3,5 millions d'élèves ont vu leurs données compromises via EduConnect. Sans oublier les 774 000 étudiants du Crous piratés en parallèle.