43 Go de fichiers, millions d’élèves et de personnels concernés, piratage revendiqué le 17 août 2026, ce que l’école doit affronter

Un nouvel épisode de cyberattaque vise l’Éducation nationale: un piratage revendiqué le 17 août 2026 évoque près de 43 Go de fichiers et des données concernant des millions d’élèves, de parents, d’enseignants et de personnels. Les informations circuleraient sous forme de milliers de fichiers, avec un volume présenté comme massif, mais dont la correspondance exacte en personnes reste difficile à établir.

Cette affaire s’inscrit dans une série d’incidents depuis le début de 2026. En mars, un piratage lié au logiciel RH Compas a exposé les données personnelles d’environ 243 000 agents. Entre revendications de pirates, confirmations par des acteurs du secteur et enquêtes en cours, l’institution fait face à une tension durable: protéger des systèmes hétérogènes, tout en limitant l’impact concret sur les familles et les agents.

ZeroBytes revendique 43 Go et 2 500 fichiers volés

Le 17 août 2026, le cybercriminel se présentant sous le nom de ZeroBytes revendique une nouvelle intrusion touchant l’Éducation nationale. Les éléments mis en avant évoquent un paquet de données d’environ 43 Go, réparti dans près de 2 500 fichiers. Dans ce type de fuite, le volume ne décrit pas seulement la sensibilité, il indique souvent un mélange de listes, exports et historiques, parfois dupliqués, parfois structurés en tables.

Plusieurs informations relayées autour de cette revendication parlent aussi de 346 millions de lignes de données. Cette notion est technique: une “ligne” correspond à un enregistrement informatique, pas à une personne. Un même individu peut apparaître plusieurs fois, par exemple dans un annuaire, une base d’historique, un outil de suivi administratif ou des exports réalisés à différentes dates. Cette distinction compte, car elle conditionne l’évaluation du risque réel.

Les éléments diffusés décrivent des données d’identité et des informations à caractère scolaire ou professionnel, selon les périmètres évoqués. Dans un scénario d’aspiration de données sur une longue période, les mêmes champs peuvent coexister sous des formats variables, ce qui complique le tri. Le résultat, pour les victimes potentielles, n’est pas seulement une crainte abstraite: une fuite structurée facilite le ciblage par messages frauduleux, l’usurpation d’identité ou l’ingénierie sociale.

Une nuance s’impose: le ministère ne confirme pas les chiffres avancés par l’attaquant sur l’ampleur exacte, notamment lorsqu’il est question de millions de personnes. Cette prudence est habituelle, car la vérification nécessite de reconstituer le chemin d’accès, l’empreinte des exports et la nature des fichiers. En pratique, l’urgence est double, contenir la fuite et informer de manière utile, sans amplifier ni minimiser un phénomène encore en cours de qualification.

Le piratage du logiciel Compas a exposé 243 000 agents

L’un des incidents les plus documentés en 2026 concerne le logiciel RH Compas, utilisé pour la gestion des stagiaires du premier et du second degrés. Le ministère a indiqué qu’environ 243 000 agents, principalement des enseignants, ont vu leurs données personnelles compromises. Les champs cités comprennent noms, prénoms, adresses postales, numéros de téléphone et périodes d’absence, sans mention du motif, ce qui peut suffire à établir des profils.

L’intrusion dans ce système est datée du 15 mars et la détection a eu lieu le 19 mars, en fin de journée, par le centre opérationnel de la sécurité des systèmes d’information du ministère. Cet écart de plusieurs jours illustre une difficulté fréquente: une intrusion peut rester silencieuse, le temps que des logs soient examinés ou qu’un comportement anormal soit détecté. Plus l’accès dure, plus le risque d’exfiltration augmente.

Un échantillon des données piratées a été mis en ligne sur des sites de revente par une entité se présentant sous le pseudonyme Hexdex. La présence d’un échantillon correspond à une pratique d’extorsion ou de “preuve de détention” destinée à crédibiliser l’annonce auprès d’acheteurs. Cela renforce aussi le risque, car même une fraction de la base peut suffire à lancer des campagnes de fraude très ciblées auprès d’agents identifiés et localisés.

Dans cette affaire, le ministère a saisi l’Anssi et la Cnil, et un dépôt de plainte à Paris est en cours. Ces étapes traduisent une chaîne classique: réponse technique, signalement réglementaire et volet judiciaire. La critique formulée en interne, de manière récurrente dans ce type de crise, porte sur la dépendance à des outils métiers, parfois anciens, dont la sécurité repose autant sur les mises à jour que sur les pratiques de comptes et d’accès au quotidien.

L’accès frauduleux du 25 juillet est passé par un compte usurpé

Le ministère a décrit un autre incident survenu dans la nuit du 25 au 26 juillet 2026, lié à l’usurpation d’un compte professionnel. Le point d’entrée aurait permis de viser un système d’information dédié à la formation des personnels. Ce mode opératoire rappelle que la sécurité ne se limite pas aux serveurs: un compte compromis, par hameçonnage ou réutilisation d’identifiants, peut ouvrir une porte vers des ressources internes.

Pour cet épisode, le ministère a indiqué des limites à l’exposition: aucune donnée bancaire, aucun mot de passe et aucune donnée concernant des élèves n’auraient été compromis dans ce périmètre. Cette précision est importante pour hiérarchiser le risque. Une fuite d’identifiants de connexion actifs change immédiatement la posture de sécurité d’une organisation, alors qu’une fuite d’éléments d’identité et de carrière nourrit surtout le risque d’usurpation, de chantage ou de fraude documentaire.

Les informations susceptibles d’avoir été exfiltrées portent sur des agents ayant exercé en académie depuis 2001, avec des éléments d’identité et des informations professionnelles, comme le statut et les fonctions. Pour une partie, s’ajoutent adresse postale, numéro de téléphone et même le numéro de sécurité sociale. Ce dernier champ est particulièrement sensible, car il peut être exploité dans des tentatives d’ouverture de lignes, de faux dossiers ou de contournement de vérifications.

Ce scénario met en lumière un point de gouvernance: le facteur humain. Un compte usurpé peut résulter d’un simple mot de passe faible, d’un poste infecté ou d’un courriel de phishing crédible. Dans un ministère comptant un grand nombre d’agents, l’hétérogénéité des pratiques rend la défense difficile. La nuance est que renforcer la sécurité, par des procédures plus strictes, peut aussi ralentir l’accès à des outils essentiels, ce qui crée des arbitrages sensibles dans le service public.

Pourquoi des “millions” restent difficiles à traduire en victimes identifiées

Les revendications de ZeroBytes évoquent, selon les éléments communiqués par le hackeur, plus d’un million d’élèves concernés, principalement en primaire, et près de quatre millions d’identifiants de personnels dupliqués, tout en précisant que le ministère ne confirme pas ces chiffres à ce stade. L’écart entre l’annonce et la confirmation institutionnelle est fréquent, car il faut vérifier l’authenticité et la fraîcheur des fichiers.

La difficulté tient aussi au vocabulaire. Les “lignes” de données, les “identifiants” et les “personnes” ne se superposent pas. Un identifiant peut être dupliqué par répétition dans plusieurs tables, une même personne peut apparaître au fil des années, ou selon plusieurs rôles, élève puis parent, stagiaire puis agent. Dans une base sur vingt ans, les doublons, changements d’adresse et homonymies sont monnaie courante.

Un autre point de confusion concerne la période couverte. Les articles évoquent des données de ces vingt dernières années dans le cadre du piratage revendiqué en août, ce qui suggère un historique large. Plus la fenêtre temporelle s’étend, plus le nombre d’enregistrements grimpe, sans indiquer automatiquement une fuite “active”. Une adresse postale d’il y a dix ans peut être moins exploitable, alors qu’un numéro de téléphone actuel facilite un ciblage immédiat.

Cette complexité complique aussi l’information des personnes concernées. Alerter trop large expose à une panique inutile et à des tentatives d’escroquerie opportunistes. Alerter trop étroit laisse des victimes sans préparation face à des sollicitations frauduleuses. Dans ce contexte, la communication publique doit faire preuve de précision, mais elle dépend d’analyses forensiques qui demandent du temps, et parfois l’accès à des indices que les attaquants ont cherché à effacer.

Enquêtes et risques concrets: usurpation, phishing et débats sur la sécurité

Les autorités enquêtent sur ces incidents, avec un volet judiciaire à Paris dans le cas Compas et des signalements aux organismes compétents. Cette séquence intervient dans un climat plus large: la DGFiP a confirmé une cyberattaque touchant 680 000 contribuables, revendiquée par ZeroBytes, et une enquête a été ouverte par la section cybercriminalité du parquet de Paris. La répétition des attaques alimente un débat sur la résilience numérique de l’État.

Sur le plan individuel, le risque le plus immédiat après une fuite d’identité et de coordonnées reste l’hameçonnage. Un courriel ou un SMS peut reprendre le nom de l’école, l’académie, le statut d’agent ou la qualité de parent d’élève, ce qui augmente le taux de clic. Les périodes d’absence ou les fonctions peuvent aussi servir à rendre un faux message crédible, par exemple une relance de dossier RH ou une convocation administrative frauduleuse.

La présence possible de numéros de sécurité sociale pour une partie des agents, mentionnée dans le périmètre lié aux personnels depuis 2001, ajoute une couche de sensibilité. Même sans mots de passe ni données bancaires, ce type d’identifiant peut être utilisé dans des tentatives de fraude ou de constitution de dossiers fictifs. Dans la vie réelle, les victimes se retrouvent souvent à renforcer la surveillance de leurs comptes, à se méfier d’appels inconnus, et à multiplier les démarches préventives.

Cette succession d’attaques appelle aussi une critique de méthode: annoncer des limites de fuite, comme “pas de mots de passe”, ne suffit pas à rassurer durablement quand les intrusions se répètent. La sécurité dépend autant des outils que des accès, des mises à jour et des contrôles. L’augmentation des services numériques dans l’éducation, de l’administration RH aux plateformes de connexion, élargit la surface d’attaque. La question centrale devient celle de l’investissement continu, pas d’une réaction ponctuelle après chaque crise.