43 Go de données, 1,2 million d’élèves : l’Éducation nationale face à une fuite massive

18 août 202618 août 2026 Bertrand 78 vues

Après le piratage de la Direction générale des Finances publiques, le cybercriminel ZeroBytes affirme avoir réussi à s’introduire dans les systèmes de l’Éducation nationale et à en extraire environ 43 Go de données. Le chiffre est vertigineux : près de 2 500 fichiers et 346 millions de lignes de données brutes seraient concernés, avec des informations portant sur des élèves, des enseignants et des personnels administratifs. Mais attention : à ce stade, ces chiffres sont revendiqués par le pirate et ne sont pas encore officiellement confirmés par le ministère.

L’affaire est d’autant plus préoccupante qu’elle intervient quelques semaines seulement après une intrusion officiellement reconnue par l’Éducation nationale. Le 31 juillet, le ministère confirmait qu’un de ses systèmes avait subi une intrusion frauduleuse susceptible d’avoir entraîné l’exfiltration de données personnelles concernant « un nombre important » d’agents, tout en précisant que les investigations étaient encore en cours.

Une attaque qui commence par un compte compromis

Le point de départ est particulièrement intéressant, car il rappelle une réalité souvent oubliée dans les grandes affaires de cybersécurité : il n’est pas forcément nécessaire de « casser » un serveur pour entrer dans un système informatique.

Dans l’incident confirmé fin juillet, l’Éducation nationale indiquait que l’intrusion résultait de l’usurpation d’un compte professionnel. Avec les identifiants de cet utilisateur, l’attaquant avait pu pénétrer dans le système d’information consacré à la formation des personnels.

Selon les informations désormais avancées par ZeroBytes et relayées par plusieurs spécialistes de la cybersécurité, l’attaquant affirme être allé beaucoup plus loin que ce que le ministère avait initialement identifié, notamment grâce à un accès VPN qui lui aurait permis de se déplacer vers plusieurs systèmes internes.

C’est une méthode particulièrement efficace : au lieu de devoir franchir directement les défenses d’une infrastructure, le pirate dispose d’un accès qui ressemble à celui d’un utilisateur légitime. Une fois connecté, il cherche ensuite à élargir progressivement ses privilèges et à accéder à d’autres ressources.

En matière de cybersécurité, c’est un peu comme entrer dans un immeuble avec le badge parfaitement valable d’un employé : le vigile ne vous arrête pas, l’ascenseur fonctionne et personne ne se demande pourquoi vous allez soudainement visiter le troisième sous-sol.

🚨 ALERTE – PIRATAGE MASSIF DE L’ÉDUCATION NATIONALE

Des millions d’élèves, enseignants et personnels seraient concernés. Après la DGFiP, le même hacker revendique 43 Go de données, soit près de 346 millions de lignes couvrant plus de 20 ans.

Noms, prénoms, dates de naissance,… pic.twitter.com/ZOkxAzRRel

— Seb (@seblatombe) August 17, 2026

43 Go, 346 millions de lignes : attention aux chiffres

C’est probablement la partie la plus spectaculaire de cette affaire, mais aussi celle qui nécessite le plus de prudence.

ZeroBytes affirme avoir récupéré environ 43 Go de données répartis dans près de 2 500 fichiers, représentant environ 346 millions de lignes brutes. Selon les éléments communiqués au site FrenchBreaches, ces données couvriraient plus de vingt ans, avec des informations remontant parfois au début des années 2000 et d’autres allant jusqu’en juillet 2026.

Mais 346 millions de lignes ne signifient absolument pas 346 millions de personnes.

Une même personne peut apparaître plusieurs fois dans les bases : changement d’établissement, inscription, formation, affectation professionnelle, historique administratif, etc. Le chiffre de 1,22 million d’élèves distincts avancé par le pirate est donc très différent du nombre de lignes annoncées.

Il faut donc présenter ces chiffres comme ce qu’ils sont actuellement : des données revendiquées par l’attaquant et partiellement documentées par des chercheurs et médias spécialisés, mais dont l’étendue exacte reste à établir officiellement.

Que contiendraient les données ?

Selon les éléments actuellement disponibles, la base revendiquée serait particulièrement hétérogène.

Le pirate affirme notamment avoir identifié environ :

1,22 million d’élèves distincts ;
4,35 millions d’identifiants de personnels ;
environ 602 000 comptes académiques ;
43 Go de fichiers ;
près de 2 500 fichiers ;
environ 346 millions de lignes brutes ;
plus de 20 ans d’historique.

Les informations pourraient comprendre des identités, coordonnées, données scolaires, informations professionnelles et administratives, ainsi que des données liées aux comptes des personnels. Des annuaires LDAP des académies de Créteil et Versailles seraient notamment concernés selon les informations rapportées par Le Dauphiné, avec des identifiants, adresses électroniques, fonctions, établissements de rattachement et statuts de comptes.

Certains éléments évoquent également la présence d’empreintes de mots de passe dans ces annuaires. Cela ne signifie pas que les mots de passe seraient nécessairement disponibles en clair : une empreinte cryptographique n’est pas équivalente au mot de passe lui-même. Mais sa présence constitue néanmoins une information intéressante pour un attaquant, notamment si les utilisateurs réutilisent leurs mots de passe ailleurs.

Et les enfants dans tout cela ?

C’est probablement l’aspect le plus préoccupant.

Une partie des informations revendiquées concernerait des élèves, dont une proportion importante de mineurs, avec des données permettant potentiellement de relier une identité à un établissement, une classe ou une adresse électronique.

Et c’est ici que le risque n’est pas nécessairement celui d’un piratage spectaculaire dans lequel quelqu’un viderait directement un compte bancaire.

Le danger est beaucoup plus banal : l’ingénierie sociale.

Imaginez qu’un parent reçoive un message indiquant :

Bonjour Madame Martin, votre enfant inscrit en 5e B au collège Maxime de la Buissonière doit mettre à jour son compte ÉduConnect…

Ce message paraît immédiatement beaucoup plus crédible qu’un vague “Cher utilisateur, votre compte scolaire est compromis”.

Le pirate possède alors plusieurs ingrédients essentiels d’une bonne arnaque : un nom, un établissement, éventuellement une adresse électronique et des informations permettant de donner au message une apparence parfaitement légitime.

C’est exactement le type de situation dans laquelle une fuite de données devient dangereuse même lorsque les informations volées ne permettent pas directement de voler de l’argent.

Le véritable risque : fabriquer des arnaques crédibles

Une fuite de données ne provoque pas nécessairement un dommage immédiatement visible.

Le pirate peut très bien conserver certaines informations pendant des mois avant de les exploiter. Les bases de données volées peuvent également être croisées avec d’autres fichiers issus de précédentes fuites.

Un nom et une adresse électronique pris isolément ont une valeur relativement limitée.

Un nom + établissement scolaire + classe + adresse électronique + informations familiales ou administratives constituent en revanche un profil beaucoup plus exploitable.

Et pour les personnels, la situation peut être encore plus intéressante pour un attaquant : connaître le nom, la fonction, l’établissement, l’adresse professionnelle et éventuellement certaines informations liées au compte permet de construire des campagnes de phishing particulièrement convaincantes.

Le classique “votre compte doit être réinitialisé” devient soudain beaucoup moins suspect lorsqu’il arrive avec suffisamment de détails exacts.

Le problème des comptes professionnels

L’histoire est également intéressante d’un point de vue purement informatique.

Dans plusieurs attaques récentes contre des organismes publics français, le scénario repose moins sur une vulnérabilité extraordinaire que sur la compromission d’un compte légitime.

C’est exactement ce que le ministère avait officiellement reconnu fin juillet : un compte professionnel avait été usurpé pour accéder à son système de formation.

Ce genre d’attaque rappelle une règle fondamentale de la sécurité moderne : l’identité de l’utilisateur est devenue une partie du périmètre de sécurité.

Un mot de passe volé, une session VPN compromise ou un compte insuffisamment protégé peuvent donner accès à des ressources qui, elles, sont parfaitement sécurisées sur le plan technique.

Le serveur peut donc être parfaitement à jour, le pare-feu fonctionner comme prévu et les antivirus ne rien détecter… pendant que quelqu’un se promène à l’intérieur avec les clés du propriétaire.

Une troisième fuite pour l’Éducation nationale en 2026

L’affaire prend également une autre dimension parce qu’elle ne survient pas isolément.

L’Éducation nationale a déjà été confrontée à plusieurs incidents cette année. En avril, une cyberattaque avait notamment exposé des données liées à ÉduConnect ; le ministère avait alors confirmé qu’un compte d’un personnel autorisé avait été compromis et que des informations concernant des élèves avaient été exposées.

Un autre incident a ensuite été annoncé fin juillet, concernant cette fois le système de formation des personnels.

La revendication de ZeroBytes intervient donc dans un contexte déjà particulièrement sensible. FrAndroid parle ainsi d’une troisième attaque visant l’Éducation nationale en 2026.

Un scénario qui ressemble étrangement à celui des impôts

Le timing interpelle également.

Le même cybercriminel, ZeroBytes, est déjà associé à la revendication concernant la DGFiP, qui portait sur environ 678 000 contribuables et professionnels. RTL rapporte que ZeroBytes revendique désormais cette nouvelle opération contre l’Éducation nationale.

Dans les deux affaires, on retrouve un élément commun particulièrement intéressant : l’utilisation supposée d’identifiants ou d’accès légitimes compromis.

Si ces éléments sont confirmés, le problème ne serait donc pas simplement celui de deux administrations qui auraient chacune subi une « faille informatique ». Il pourrait révéler quelque chose de plus structurel : la difficulté à sécuriser les identités numériques donnant accès aux systèmes administratifs.

Le ministère confirme-t-il les 43 Go ?

Non, pas à ce stade.

C’est un point essentiel pour éviter de transformer une revendication criminelle en information officielle.

Le ministère a bien confirmé le 31 juillet 2026 une intrusion frauduleuse et la possibilité d’une exfiltration de données personnelles concernant un nombre important d’agents. Mais il indiquait également que les investigations se poursuivaient pour déterminer précisément le périmètre de l’incident.

Les 43 Go, les 346 millions de lignes, les 1,22 million d’élèves et les 4,35 millions d’identifiants proviennent actuellement de la revendication de ZeroBytes et des analyses de chercheurs spécialisés qui ont examiné des éléments présentés comme provenant de la fuite.

Il serait donc incorrect d’écrire aujourd’hui que « 1,22 million d’élèves ont officiellement été piratés ». La formulation correcte est plutôt : « ZeroBytes affirme avoir dérobé des données concernant 1,22 million d’élèves ».

La nuance peut sembler minuscule, mais elle est fondamentale lorsqu’on parle de cybersécurité.

Quels impacts concrets pour les familles ?

Pour les parents et les élèves, le principal risque immédiat est probablement l’hameçonnage ciblé.

Un escroc pourrait utiliser les informations disponibles pour envoyer de faux messages concernant ÉduConnect, une inscription, une bourse, une cantine, un établissement scolaire ou encore un document administratif.

Le même principe peut être appliqué aux enseignants et personnels administratifs avec de faux messages provenant prétendument du rectorat, de l’académie, de l’Éducation nationale ou du service informatique.

Il faut donc particulièrement se méfier des messages qui demandent :

de cliquer sur un lien pour « réactiver » un compte ;
de communiquer un mot de passe ;
de confirmer une identité ;
de télécharger un document ;
de fournir des informations bancaires ;
ou d’effectuer une procédure urgente.

Le fait qu’un message contienne des informations exactes sur vous ne prouve absolument pas qu’il provient de l’administration.

C’est même désormais potentiellement l’inverse : ces informations peuvent être précisément celles que le pirate utilise pour vous convaincre.

Et pour les personnels ?

Pour les agents de l’Éducation nationale, le problème peut être plus sérieux si des identifiants ou des informations d’authentification sont effectivement présents dans les données exfiltrées.

Même lorsque les mots de passe sont stockés sous forme d’empreintes cryptographiques, ils doivent être considérés avec prudence, notamment si un même mot de passe a été utilisé sur plusieurs services.

Le bon réflexe est donc de ne jamais réutiliser un mot de passe professionnel, d’activer l’authentification multifacteur lorsqu’elle est disponible et de changer immédiatement tout mot de passe potentiellement concerné par une compromission.

Ce que cette affaire révèle surtout

Le plus inquiétant dans cette histoire n’est peut-être finalement pas le nombre de gigaoctets.

C’est le fait qu’une attaque relativement classique — compromettre une identité, entrer dans le système avec des droits légitimes puis chercher à élargir son accès — puisse potentiellement conduire à l’exfiltration d’un volume considérable de données.

Et cela rappelle une vérité assez peu spectaculaire de la cybersécurité : les pirates n’ont pas toujours besoin d’être des génies capables de casser un système ultra-sophistiqué. Il leur suffit parfois d’obtenir le bon identifiant et de ne pas être repérés assez rapidement.

Pour les utilisateurs, la conséquence est tout aussi simple : dans les prochaines semaines, un message particulièrement bien renseigné n’est pas forcément un message particulièrement fiable.

Il pourrait simplement être un très bon phishing… avec de vraies informations dedans.

À retenir

43 Go de données sont revendiqués, mais ce chiffre n’est pas encore confirmé officiellement.

346 millions de lignes auraient été extraites, mais ce chiffre correspond à des enregistrements et non à autant de personnes.

1,22 million d’élèves et 4,35 millions d’identifiants de personnels sont revendiqués par ZeroBytes, tandis que 602 000 comptes académiques seraient présents dans les données selon les analyses publiées.

L’intrusion officiellement reconnue par le ministère reposait sur l’usurpation d’un compte professionnel.

Le risque le plus concret pour les victimes est probablement le phishing ciblé et l’usurpation d’identité, plutôt qu’un accès direct à un compte bancaire.

Et surtout, l’affaire n’est pas encore complètement documentée : tant que le ministère n’a pas terminé ses investigations, les chiffres les plus spectaculaires doivent rester présentés comme des revendications du cybercriminel, et non comme un bilan officiel.

Sources