Éducation nationale : Zerobytes revendique le vol de 346 millions de données

Quelques jours seulement après la cyberattaque massive contre la Direction générale des Finances publiques, l'Éducation nationale fait à son tour l'objet d'une revendication de piratage d'une ampleur sans précédent. Le cybercriminel Zerobytes affirme avoir exfiltré 346 millions de lignes de données concernant des élèves, leurs responsables légaux et des personnels du ministère. Une affaire qui s'inscrit dans une série noire de cyberattaques visant les administrations françaises.

Le groupe de hackers Zerobytes a publié sa revendication en affirmant avoir compromis plusieurs systèmes du ministère de l'Éducation nationale et récupéré environ 43 gigaoctets de données, répartis dans près de 2 500 fichiers. Le cybercriminel situe l'intrusion au 15 juillet 2026, ce qui signifie que les pirates auraient eu accès aux systèmes pendant plusieurs semaines avant d'être détectés. Plus inquiétant encore, Zerobytes soutient même avoir été détecté sans perdre immédiatement son accès, suggérant une faille dans la réponse sécuritaire du ministère.

Le chiffre de 346 millions avancé par les pirates ne correspond pas à autant de personnes distinctes. Il s'agit en réalité de lignes brutes non dédupliquées, ce qui signifie qu'une même personne peut apparaître plusieurs fois dans différentes bases de données. Selon les éléments revendiqués par Zerobytes, environ 1,22 million d'élèves distincts seraient concernés, ainsi que 4,35 millions d'identifiants de personnels et environ 602 000 comptes académiques. Malgré cette précision, l'ampleur de la fuite reste considérable et expose potentiellement des millions de personnes à des risques d'usurpation d'identité et de phishing.

Des données sensibles couvrant vingt ans d'historique

La nature des informations dérobées est particulièrement préoccupante. Côté élèves, Zerobytes affirme notamment détenir des bases concernant l'académie de Créteil, certaines remontant jusqu'à 2005. Ces fichiers contiendraient des noms, dates et lieux de naissance, adresses postales, identifiants nationaux élèves, informations sur les responsables légaux ainsi que des historiques complets d'inscription. La profondeur historique des données, couvrant plus de vingt ans avec certains enregistrements remontant à 2002-2005 et d'autres allant jusqu'en juillet 2026, aggrave considérablement la portée de cette violation.

D'autres exports, présentés comme issus de systèmes nationaux pour les années 2025 et 2026, comporteraient des données encore plus sensibles liées à la scolarité elle-même. On y trouverait des notes, des évaluations détaillées, des compétences acquises, des registres d'absences, des informations d'orientation scolaire et même des dossiers disciplinaires. Ces informations, qui relèvent de la vie privée des élèves, pourraient être utilisées à des fins malveillantes si elles venaient à être diffusées publiquement.

Certains fichiers concerneraient également des élèves suivis pour des difficultés scolaires ou identifiés comme présentant un risque de décrochage. Le pirate affirme y avoir trouvé des informations détaillées sur des absences répétées, des convocations, des comptes rendus d'entretiens avec les familles et des décisions prises dans le cadre de dispositifs d'accompagnement spécifiques. La divulgation de telles données porterait gravement atteinte à la vie privée de jeunes souvent en situation de vulnérabilité.

Des systèmes académiques et nationaux compromis

L'architecture de l'attaque révèle une intrusion méthodique dans plusieurs systèmes distincts. Le premier bloc de données, d'environ 24 gigaoctets, regrouperait principalement des systèmes liés à l'académie de Créteil ainsi que certaines données de portée nationale. Le deuxième ensemble, d'environ 17,8 gigaoctets, comprendrait notamment des données I-Prof provenant des 33 académies françaises. I-Prof est le système de gestion des carrières des enseignants, ce qui signifie que des informations professionnelles sensibles concernant des centaines de milliers de personnels de l'Éducation nationale pourraient avoir été compromises.

Enfin, environ 1,6 gigaoctet correspondraient à des extractions d'annuaires académiques concernant spécifiquement les académies de Créteil et de Versailles. Ces annuaires contiennent généralement des coordonnées professionnelles, mais peuvent également inclure des informations personnelles sur les agents. Zerobytes affirme avoir obtenu un accès VPN aux systèmes concernés, ce qui soulève de sérieuses questions sur la robustesse des mécanismes d'authentification et de contrôle d'accès du ministère.

Une administration sous le feu des cyberattaques

Cette revendication intervient dans un contexte particulièrement tendu pour la cybersécurité des administrations françaises. Quelques jours seulement avant l'annonce concernant l'Éducation nationale, la Direction générale des Finances publiques (DGFiP) avait confirmé avoir subi deux cyberattaques d'ampleur inédite, exposant les données personnelles et fiscales de plus de 2,7 millions de Français. La première intrusion, survenue fin juin 2026, avait compromis les informations de 678 000 personnes, dont 386 millionnaires. Un mois plus tard, une seconde offensive avait visé 2 millions de contribuables supplémentaires via le fichier cadastral.

L'année 2026 se révèle catastrophique en matière de cybersécurité pour les services publics français. En avril, l'Agence nationale des titres sécurisés (ANTS) avait confirmé avoir subi une cyberattaque d'une ampleur inédite, exposant les données personnelles de 18 à 19 millions de citoyens. Un hacker avait exploité une faille de sécurité élémentaire pour accéder aux informations de Français ayant effectué des démarches pour obtenir une carte d'identité, un permis de conduire, un passeport ou une carte grise.

En février, une fuite massive avait également touché les services de renseignement français, avec la diffusion d'une base de données contenant les informations personnelles de près de 2 393 agents issus de la DGSI, de la DGSE, de la Gendarmerie nationale et de la Police nationale. Cette série d'incidents révèle des failles structurelles dans la protection des systèmes d'information de l'État et soulève la question des moyens alloués à la cybersécurité des administrations.

Un silence officiel préoccupant

À ce stade, le ministère de l'Éducation nationale n'a pas confirmé l'ampleur de cette nouvelle fuite. Aucune communication officielle n'a été publiée pour informer les familles et les personnels potentiellement concernés par cette violation de données. Ce silence contraste avec la stratégie de communication adoptée par d'autres administrations victimes de cyberattaques, qui avaient rapidement publié des communiqués et mis en place des cellules d'information.

Il faut donc, pour l'instant, distinguer une revendication très détaillée et partiellement étayée par des échantillons de données d'une fuite dont le périmètre exact reste à confirmer par les autorités. Les spécialistes en cybersécurité recommandent toutefois aux personnes potentiellement concernées de faire preuve de vigilance face aux tentatives de phishing qui pourraient exploiter ces données volées dans les semaines et mois à venir.

Quelles conséquences pour les victimes ?

Si l'ampleur de la fuite se confirme, les conséquences pourraient être graves pour les millions de personnes concernées. Les données personnelles d'élèves, combinées à celles de leurs responsables légaux, constituent une mine d'informations pour les cybercriminels. Ces données peuvent être utilisées pour des campagnes de phishing ciblées, en se faisant passer par exemple pour l'administration scolaire ou pour des services du ministère. Les parents pourraient recevoir des courriels frauduleux semblant provenir de l'école de leurs enfants, demandant des informations complémentaires ou des paiements.

Pour les personnels de l'Éducation nationale dont les données I-Prof auraient été compromises, les risques incluent également l'usurpation d'identité professionnelle et l'exploitation de leurs informations de carrière. Les données disciplinaires et de suivi des élèves en difficulté représentent quant à elles un danger particulier pour des jeunes déjà fragilisés. Leur divulgation pourrait avoir des conséquences psychologiques importantes et porter atteinte à leur droit à l'oubli numérique.

Face à cette menace, les experts en cybersécurité conseillent aux personnes potentiellement concernées de renforcer la sécurité de leurs comptes en ligne, notamment en activant la double authentification partout où c'est possible, en changeant régulièrement leurs mots de passe et en restant particulièrement vigilantes face aux courriels, SMS ou appels suspects. Il est également recommandé de surveiller attentivement ses relevés bancaires et de signaler immédiatement toute activité inhabituelle aux autorités compétentes.

Un défi majeur pour la cybersécurité de l'État

Cette nouvelle cyberattaque met en lumière les défis colossaux auxquels font face les administrations françaises en matière de sécurité informatique. Malgré les investissements annoncés et la création de l'Agence nationale de la sécurité des systèmes d'information (ANSSI), les pirates parviennent régulièrement à s'introduire dans des systèmes censés être sécurisés. L'utilisation d'accès VPN, comme le revendique Zerobytes, suggère que les cybercriminels exploitent des failles dans les mécanismes d'authentification ou qu'ils sont parvenus à compromettre des identifiants légitimes.

Les experts pointent du doigt plusieurs facteurs explicatifs : des systèmes informatiques vieillissants et hétérogènes, un manque chronique de personnels spécialisés en cybersécurité dans la fonction publique, des budgets insuffisants pour moderniser les infrastructures et une sensibilisation encore trop faible des agents aux bonnes pratiques de sécurité. La multiplication des cyberattaques contre les administrations françaises en 2026 devrait conduire à une refonte en profondeur de la stratégie nationale de cybersécurité.

Dans l'immédiat, les regards se tournent vers le ministère de l'Éducation nationale qui devra clarifier rapidement la situation, confirmer ou infirmer l'ampleur de la fuite revendiquée par Zerobytes, et mettre en place des mesures concrètes pour protéger les personnes concernées. Les familles et les personnels sont en droit d'attendre une transparence totale sur cette affaire et sur les mesures prises pour éviter qu'un tel incident ne se reproduise. En attendant, cette nouvelle cyberattaque rappelle cruellement que la protection des données personnelles reste un chantier majeur pour l'administration française.