Encore un piratage de l'Éducation nationale : des millions d'élèves et de personnels potentiellement exposés

Les hackers derrière le piratage de la DGFiP affirment avoir aussi accédé à plusieurs systèmes de l'Éducation nationale. 43 Go de données auraient été dérobés, avec des informations particulièrement sensibles sur les élèves et le personnel.

C'est un véritable feuilleton avec nos données personnelles qui est en train de se dérouler sous nos yeux. ZeroBytes, le duo de cybercriminels derrière les cyberattaques ayant touché Intermarché, la Fédération française de handball et la DGFiP, a récidivé.

Cette fois, dans la nuit du 17 au 18 août, ils ont affirmé avoir compromis plusieurs systèmes de l'Éducation nationale et dérobé environ 43 Go de données appartenant à l'administration scolaire, soit près de 346 millions de lignes réparties dans quelque 2 500 fichiers. Comme le rapporte le site spécialisé French Breaches, des millions d'élèves et de personnels (enseignants et autres) seraient potentiellement concernés. À ce stade, l'ampleur exacte de la fuite n'est toutefois pas confirmée par le ministère de l'Éducation nationale. Cela en serait presque risible si ce n'était pas aussi grave.

Piratage de l'Éducation nationale : un décalage entre les récits du ministère et des pirates

Pour comprendre toute l'ampleur de l'affaire, il faut revenir au 31 juillet 2026, date à laquelle l'Éducation nationale a révélé qu'un accès frauduleux avait été détecté dans la nuit du 25 juillet à la suite de l'usurpation d'un compte professionnel. L'attaque avait touché un système d'information consacré à la formation des personnels. Le centre opérationnel de sécurité avait été alerté dès le lendemain, l'accès externe au système suspendu et une cellule de crise activée.

Selon les informations du ministère, les données susceptibles d'avoir été dérobées concernaient les agents ayant exercé en académie depuis 2001 : identité, statut, fonctions et, pour une partie d'entre eux, coordonnées, adresse postale, téléphone et numéro de sécurité sociale. En revanche, il assurait que ni les données bancaires, ni les mots de passe, ni les informations relatives aux élèves n'étaient touchés.

Sauf que le récit de ZeroBytes est nettement plus alarmant. Le groupe serait parvenu à rester caché dans les systèmes de l'Éducation nationale pendant plusieurs semaines après cet incident. Il aurait alors pu exfiltrer des données à sa guise. Il serait parvenu à récupérer des données issues de plusieurs systèmes différents, ce qui expliquerait l'écart considérable entre les informations évoquées dans la communication officielle de fin juillet et celles présentées dans leur nouvelle revendication.

Au total, les hackers auraient dérobé 43 Go de données, soit près de 346 millions de lignes réparties dans quelque 2 500 fichiers, dans ce qui correspond à un historique de plus de vingt ans, allant de 2002 à juillet 2026. Attention, ces 346 millions de lignes annoncées ne correspondent pas à 346 millions de personnes. Une même personne peut apparaître plusieurs fois dans différentes bases et sur plusieurs années. Après avoir supprimé les doublons, ZeroBytes affirme avoir identifié environ 1,22 million d'élèves distincts et 4,35 millions d'identifiants de personnels.

Là encore, ce dernier nombre ne signifie donc pas que 4,35 millions d'enseignants et d'agents actuellement en fonction auraient été piratés : les données revendiquées couvriraient plusieurs décennies d'archives et concerneraient d'anciens personnels. Plus de 600 000 comptes académiques seraient également présents.

Reste que le contenu des fichiers revendiqués est particulièrement sensible. Pour les élèves, les pirates affirment avoir récupéré des informations d'identité, des dates de naissance, des adresses, des identifiants nationaux, des informations sur les responsables légaux et des historiques de scolarité, mais aussi les notes, les évaluations, les compétences, les absences, l'orientation et les dossiers disciplinaires. Il y aurait même des fichiers consacrés au suivi d'élèves en difficulté ou en situation de décrochage.

Du côté des personnels, les fichiers de ZeroBytes contiendraient notamment des données issues d'I-Prof, le service utilisé par les enseignants pour gérer différents aspects de leur carrière. On y retrouverait des informations relatives à l'identité, aux coordonnées professionnelles, aux qualifications, aux formations et aux parcours administratifs.

Le groupe affirme également avoir récupéré deux annuaires correspondant aux académies de Créteil et de Versailles, représentant environ 602 000 entrées. Ces bases contiendraient des identifiants de comptes, des adresses électroniques, des fonctions et des établissements de rattachement, ainsi que des empreintes cryptographiques de mots de passe. Ces dernières ne sont pas les mots de passe eux-mêmes, mais leur présence pourrait néanmoins poser problème selon la manière dont ils ont été protégés.

Plusieurs spécialistes ont pu examiner des échantillons mis à disposition par les cybercriminels et certains fichiers semblent effectivement provenir de systèmes utilisés par l'Éducation nationale. Cela ajoute de la crédibilité à la revendication, sans toutefois permettre de vérifier les 43 Go de données annoncés ni l'ensemble des chiffres avancés par ZeroBytes. La revendication est donc à prendre avec des pincettes.

Piratage de l'Éducation nationale : quels sont les risques pour les victimes ?

Cette attaque revendiquée n'est pas à prendre à la légère, car, si elles ont effectivement été dérobées, de telles informations pourraient être utilisées pour mener des attaques de phishing particulièrement redoutables. Des données permettant de connaître l'identité d'un élève, son établissement, son parcours scolaire ou les coordonnées de ses responsables légaux pourraient servir à construire des messages d'hameçonnage personnalisés très crédibles. Les personnels de l'Éducation nationale pourraient eux aussi être ciblés avec de faux messages prétendant provenir d'un rectorat, d'un établissement scolaire ou d'un service administratif.

Comme le souligne Benoît Grunemwald, expert en cybersécurité chez ESET, "un étudiant qui s'apprête à s'inscrire sur Parcoursup pourrait ainsi recevoir un message semblant provenir d'un établissement d'enseignement supérieur, l'invitant à compléter son dossier ou à transmettre des documents complémentaires. Un lycéen pourrait être contacté au sujet d'une prétendue bourse, d'un logement étudiant ou d'une procédure administrative urgente. Un enseignant ou un personnel administratif pourrait recevoir une offre de formation, une convocation ou un document RH paraissant parfaitement légitime. Plus les données dont disposent les attaquants sont précises, plus ces approches deviennent difficiles à identifier."

C'est pourquoi il est important de faire preuve de prudence face à toute demande inhabituelle, même lorsqu'elle paraît parfaitement crédible dans un contexte scolaire ou professionnel. Mieux vaut vérifier systématiquement l'identité de l'expéditeur et accéder directement aux plateformes officielles plutôt que de cliquer sur un lien reçu par message. Une vigilance particulière s'impose également face aux sollicitations qui invoquent une urgence administrative ou financière.

Piratage de l'Éducation nationale : un problème de sécurité dans le système informatique français ?

L'Éducation nationale doit à présent déterminer si la revendication de ZeroBytes correspond à l'intrusion reconnue fin juillet, à une autre compromission ou à un ensemble de données provenant de plusieurs accès distincts, le tout saupoudré d'un soupçon de bluff. Rappelons tout de même que l'Éducation nationale en est à sa troisième cyberattaque de l'année. En mars dernier, un accès frauduleux au système COMPAS avait déjà permis l'exfiltration de données concernant environ 243 000 agents, stagiaires ou titulaires (voir notre article). Puis, en avril, une cyberattaque visant un service associé à ÉduConnect avait à son tour entraîné la fuite de données d'élèves. Cela commence à faire beaucoup !

L'autre point inquiétant est que les dernières cyberattaques visant les services publics français présentent plusieurs similitudes dans leur mode opératoire. "Ces attaques ont un point commun : aucune n'est technique. L'attaquant entre avec des identifiants valides, et l'organisation détecte l'accès sans voir l'extraction", remarque Karim Hamia, expert cyber de Check Point Software. "Le secteur public cumule deux désavantages structurels : des bases nationales qui concentrent des dizaines de millions d'enregistrements sur plusieurs décennies, et des moyens de sécurité arbitrés sous contrainte budgétaire, là où une entreprise privée investit sous la pression du régulateur et de ses clients." Cela pose la question fondamentale de la sécurité du système informatique de manière générale en France, alors que les risques d'ingérences étrangères sont particulièrement surveillés à l'approche de l'élection présidentielle.

C'est pourquoi les sénateurs socialistes ont demandé la création d'une commission d'enquête dédiée au piratage de masse, dont l'objectif serait de déterminer si ces piratages résultent de failles partagées entre les différents services de l'État. Dans un courrier adressé au président du Sénat Gérard Larcher le lundi 17 août, ils estiment que cela pourrait permettre de "formuler les propositions législatives, réglementaires, organisationnelles et budgétaires nécessaires pour prévenir la répétition de tels incidents", comme le rapporte BFMTV.

Aujourd'hui, "la protection ne peut plus reposer uniquement sur la vigilance individuelle", juge Benoît Grunemwald. "Les organisations doivent être capables de détecter rapidement les usurpations de comptes, les connexions inhabituelles et les comportements anormaux. Les utilisateurs restent des cibles, mais ils ne peuvent plus être la seule ligne de défense face à des attaques qui exploitent désormais des volumes considérables de données et des techniques toujours plus automatisées." Les enquêteurs font actuellement tout leur possible pour remonter jusqu'aux pirates et découvrir leur identité.