Cyberattaque à l'Éducation nationale : après le fisc, ZeroBytes revendique les données de millions d'élèves et d'enseignants

Cinq jours après le fisc, c'est l'école. Un pseudonyme, un accès VPN et 43 gigaoctets revendiqués : la question n'est plus de savoir si l'État français protège ses données, mais s'il est encore capable de savoir quand il les perd.

La publication est apparue dans la nuit du 17 au 18 août sur un forum cybercriminel. Elle est signée ZeroBytes, le même pseudonyme qui revendiquait le 12 août le vol de 678 000 dossiers fiscaux à la Direction générale des Finances publiques. Le mode opératoire décrit est identique. Un compte légitime, un accès VPN, puis l'extraction.

Le volume annoncé donne le vertige. Environ 43 gigaoctets répartis dans quelque 2 500 fichiers, soit 346 178 591 lignes de données brutes. Le pirate situe l'intrusion au 15 juillet 2026 et affirme avoir conservé son accès plusieurs semaines, y compris, dit-il, après avoir été repéré.

Ce chiffre de 346 millions ne correspond pas à 346 millions de personnes. Une même élève apparaît autant de fois qu'elle a changé d'établissement, passé une évaluation, déposé un vœu d'orientation. Un enseignant réapparaît à chaque affectation, chaque formation, chaque acte de carrière. Les bases administratives sont des empilements d'événements, pas des annuaires. ZeroBytes avance lui-même des chiffres dédoublonnés, plus parlants : 1 224 291 élèves distincts et 4,35 millions de matricules de personnels, ces derniers couvrant plusieurs décennies d'archives, retraités et anciens agents compris.

Ce que contiendraient les fichiers

Le lot revendiqué se divise en trois blocs. Le premier, environ 24 gigaoctets, porterait principalement sur l'académie de Créteil, avec des extractions issues de systèmes à portée nationale. On y trouverait des exports BE1D, la base de gestion des élèves du premier degré, des données SCHAAF qui alimentent l'annuaire académique fédéré, et des exports SCONET pour le second degré.

Le deuxième bloc, environ 17,8 gigaoctets, proviendrait d'I-Prof et couvrirait les 33 académies françaises, métropole et outre-mer. C'est l'environnement où se gère la carrière des personnels : identités, coordonnées professionnelles, matricules, qualifications, historiques administratifs.

Le troisième, environ 1,6 gigaoctet, correspondrait à deux extractions d'annuaires LDAP pour Créteil et Versailles, soit près de 602 000 entrées.

C'est la nature des données, plus que leur poids, qui rend l'affaire préoccupante. Parmi les fichiers décrits figureraient des notes, des évaluations, des compétences scolaires, des absences, des vœux d'orientation, des dossiers disciplinaires. Et des bases de suivi individualisé consacrées aux élèves en difficulté ou en situation de décrochage. Certaines remonteraient à 2005. On ne parle plus d'une liste d'adresses mail. On parle de la possibilité de reconstituer le parcours scolaire d'un mineur et de le croiser avec l'identité de ses responsables légaux.

Le risque n'est pas théorique. Un escroc qui connaît l'école d'un enfant, sa classe et le nom de ses parents dispose de tout ce qu'il faut pour un hameçonnage crédible adressé à la famille.

Une revendication crédibilisée, pas vérifiée

Le ministère de l'Éducation nationale n'a pas confirmé cette intrusion, ni l'ampleur des données annoncées. La prudence s'impose donc, et elle doit être dite.

Deux médias spécialisés, Cyberattaque.org et FrenchBreaches, ont récupéré l'échantillon diffusé par le pirate. Ils y ont trouvé des fichiers dont la nomenclature correspond effectivement à des outils utilisés par l'administration scolaire, avec des données d'élèves, de personnels et de responsables légaux. Cela crédibilise la revendication. Cela ne la valide pas. L'échantillon compte quelques fichiers d'environ 1 500 lignes chacun, une fraction infime des 43 gigaoctets annoncés.

Reste un point qui mérite d'être creusé plutôt qu'escamoté. Le ministère a bien reconnu une intrusion cet été, mais pas celle-là. Selon sa communication de fin juillet, l'accès frauduleux a eu lieu dans la nuit du 25 juillet 2026, après l'usurpation d'un compte professionnel, et visait le système d'information dédié à la formation des personnels. Le centre opérationnel de sécurité l'a détecté dès le lendemain, l'accès externe a été suspendu et une cellule de crise activée.

Or ZeroBytes date son intrusion du 15 juillet et décrit un périmètre sans commune mesure avec un seul SI de formation. Deux hypothèses, toutes deux inconfortables. Soit le ministère a sous-évalué l'étendue de ce qu'il a lui-même constaté. Soit il existe une seconde compromission, antérieure de dix jours, que personne n'a annoncée.

Le point commun de tous ces incendies numériques

Prenons du recul sur le calendrier. Le 15 mars 2026, un compte externe usurpé donne accès au logiciel de ressources humaines Compas : les données de 243 000 enseignants sont exposées, et le ministère met quatre jours à s'en apercevoir. En avril, une attaque visant un service annexe à ÉduConnect entraîne la fuite de données d'élèves. Fin juillet, l'intrusion dans le SI de formation. En août, la revendication actuelle. Trois incidents reconnus en cinq mois, plus une revendication en suspens.

Aucun de ces épisodes ne repose sur une prouesse technique. Pas de faille exotique, pas de zero-day. À chaque fois, un identifiant valide détourné, puis une circulation libre à l'intérieur du système. La même signature que pour la DGFiP, où l'accès serait passé par le compte VPN d'un agent.

L'administration française a construit des systèmes d'information qui accumulent vingt ans d'archives, communiquent entre eux, et font confiance à quiconque présente le bon badge. Le combustible est là.

Mars, avril, juillet, août. À chaque fois un compte légitime détourné, à chaque fois un ministère qui découvre l'incendie numérique une fois la pièce enfumée. Le feu ne se propage plus d'un système à l'autre, il se propage d'une administration à l'autre. Et pendant qu'on compte les gigaoctets, personne ne compte les jours perdus à s'en apercevoir.