Le 17 août 2026, le pirate ZeroBytes a revendiqué le piratage du ministère de l’Éducation nationale, exposant potentiellement les données de 1,22 million d’élèves et de 4,35 millions de personnels. Une intrusion qui relance le débat sur la sécurité des systèmes d’information du secteur public français.
🔑 En bref
- Le ministère de l’Éducation nationale confirme avoir subi une intrusion détectée dans la nuit du 25 juillet 2026.
- Le pirate ZeroBytes affirme avoir exfiltré environ 43 Go de données, soit 346 millions de lignes brutes.
- L’extraction porterait sur 1,22 million d’élèves, 4,35 millions d’identifiants de personnels et 602 000 comptes académiques.
- Le ministère a déposé plainte et saisi l’ANSSI ainsi que la CNIL.
- ZeroBytes avait déjà revendiqué le piratage de la DGFiP, d’Intermarché et de la Fédération française de handball.
Une intrusion d’ampleur inédite dans l’éducation
Selon les informations relayées par FrenchBreaches, l’attaque contre le ministère de l’Éducation nationale constitue l’une des plus importantes fuites de données jamais subies par une administration française. Le pirate, opérant sous le pseudonyme ZeroBytes, a publié un message dans lequel il affirme avoir maintenu son accès aux systèmes compromis pendant plusieurs jours, malgré sa détection initiale par les équipes de sécurité internes.
Dans sa revendication, ZeroBytes écrit : « Vous m’aviez détecté, mais vous ne m’avez pas coupé. Je suis donc resté infiltré sous vos yeux. » Le pirate assure également avoir utilisé un accès VPN (réseau privé virtuel chiffré) pour atteindre les environnements internes et y extraire les données pendant plusieurs jours.
Chronologie de l’attaque et réponse du ministère
L’intrusion a été détectée dans la nuit du 25 juillet 2026. Le lendemain, 26 juillet, le ministère a coupé les accès externes au système compromis et déclenché une cellule de crise. Ce n’est que le 31 juillet que l’administration a confirmé publiquement l’attaque, évoquant « une intrusion frauduleuse dans l’un de ses systèmes d’information » causée par l’usurpation d’un compte professionnel.
À ce stade, le ministère a précisé que le système touché servait uniquement à la formation des personnels et ne contenait ni mots de passe ni données relatives aux élèves. Une déclaration qui contraste fortement avec les affirmations de ZeroBytes, lequel soutient avoir accédé à plusieurs environnements internes distincts et maintenu son accès pendant plusieurs jours après la détection.
« Vous m’aviez détecté, mais vous ne m’avez pas coupé. Je suis donc resté infiltré sous vos yeux. »
ZeroBytes, pirate informatique
Ventilation des données dérobées
L’analyse des fichiers publiés révèle trois ensembles principaux. Le premier, d’environ 24 Go et 1 581 fichiers, concerne principalement les systèmes de l’académie de Créteil et des données de portée nationale. Le deuxième, d’environ 17,8 Go et 1 048 fichiers, regroupe des exports issus d’I-Prof — le système de gestion de carrière des personnels — couvrant les 33 académies françaises. Le troisième, d’environ 1,6 Go, correspond à des extractions d’annuaires LDAP (protocole d’accès aux annuaires d’authentification centralisée) et OpenAM pour les académies de Créteil et Versailles, totalisant près de 602 000 entrées.
Types d’informations compromises
Pour les élèves, les fichiers incluent les noms, prénoms, dates et lieux de naissance, adresses postales et électroniques, numéros de téléphone, identifiants scolaires, parcours scolaires, affectations, données disciplinaires, absences, suivi du décrochage et parfois des empreintes cryptographiques (hash, signature numérique irréversible) de mots de passe. Pour les personnels, on retrouve l’identité, la date de naissance, les coordonnées, l’adresse e-mail académique, les identifiants administratifs, le corps, le grade, les affectations, la situation professionnelle, les contrats, les qualifications, les formations et les disponibilités. Des informations sur les parents et responsables légaux, notamment leur lien avec les élèves, sont également présentes.
Les bases BE1D (Base Élèves 1er Degré) représentent environ 5,5 Go et plus de 200 fichiers, tandis que les exports SCONET (système d’information des élèves du second degré) totalisent environ 8,5 Go pour l’année 2024-2025 et 5,7 Go pour 2025-2026. Certains enregistrements remonteraient au début des années 2000, soit plus de vingt ans d’historique, ce qui explique l’écart entre le nombre total de lignes (346 millions) et le nombre de personnes uniques.
Une série d’attaques attribuées à ZeroBytes
Cette intrusion s’ajoute à une série d’attaques déjà revendiquées par ZeroBytes au cours des derniers mois. Le même groupe avait piraté la Direction générale des finances publiques (DGFiP), portant sur environ 678 000 contribuables, ainsi qu’Intermarché et la Fédération française de handball. Plus tôt dans l’année, le portail RH Compas a été touché en mars 2026 et la plateforme EduConnect en avril 2026, affectant quelque 3,5 millions d’élèves.
| Date | Cible | Volume estimé |
|---|---|---|
| Juin 2026 | DGFiP | 678 000 contribuables |
| Mars 2026 | Portail RH Compas | Données RH (volume non précisé) |
| Avril 2026 | Plateforme EduConnect | 3,5 millions d’élèves |
| Juillet 2026 | Éducation nationale | 1,22 M d’élèves / 4,35 M d’identifiants |
Risques et recommandations
La combinaison d’informations d’identité, de coordonnées, de parcours scolaires et professionnels expose les personnes concernées à des risques élevés de phishing ciblé (hameçonnage), d’usurpation d’identité, de SMS ou appels frauduleux et d’opérations d’ingénierie sociale (manipulation psychologique visant à soutirer des informations sensibles). La présence d’empreintes cryptographiques de mots de passe, même si elles ne sont pas en clair, accroît le danger lorsque des mots de passe faibles ou réutilisés sont concernés. Les données concernant des mineurs et les liens avec leurs responsables légaux rendent ces attaques particulièrement sensibles.
Le ministère recommande aux personnes potentiellement touchées de rester vigilantes face à tout message suspect et de signaler toute tentative de fraude. L’ANSSI et la CNIL poursuivent leurs investigations pour établir le périmètre exact des données dérobées. À ce stade, l’administration n’a pas confirmé les chiffres avancés par ZeroBytes et souligne que la vérification indépendante des fichiers est nécessaire.
Conclusion
Cette attaque illustre la vulnérabilité persistante des systèmes d’information du secteur public français face à des acteurs organisés. Au-delà du cas de l’Éducation nationale, la multiplication des intrusions revendiquées par ZeroBytes en 2026 suggère une intensification des opérations ciblant les administrations et les grands acteurs économiques. Les prochains jours seront déterminants pour mesurer l’ampleur réelle de la fuite, confirmer l’authenticité des données publiées et identifier les vulnérabilités exploitées.
Pour les millions de personnes potentiellement concernées, la prudence reste de mise : surveillance accrue des comptes en ligne, renouvellement systématique des mots de passe et vigilance face à toute tentative de contact inhabituelle utilisant des informations personnelles détaillées.
Sources
Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.
