Piratage de l'Éducation nationale : ZeroBytes revendique 346 millions de lignes, la fuite scolaire la plus massive de l'année

Un cybercriminel connu sous le pseudonyme ZeroBytes affirme avoir exfiltré environ 43 Go de données réparties dans 2 500 fichiers issus de plusieurs systèmes du ministère de l'Éducation nationale, soit 346 178 591 lignes brutes non dédupliquées. Après recoupement, la revendication porterait sur 1,22 million d'élèves, 4,35 millions d'identifiants de personnels et 602 000 comptes académiques, dont des empreintes de mots de passe. C'est le même acteur qui revendiquait début août le piratage de la DGFiP et d'Intermarché Drive.

Ce qui s'est passé

Le ministère de l'Éducation nationale avait confirmé fin juillet 2026 une intrusion frauduleuse dans l'un de ses systèmes d'information, susceptible d'avoir entraîné l'exfiltration de données personnelles concernant un nombre important d'agents. ZeroBytes situe son accès au 15 juillet, quand le ministère évoque plutôt la nuit du 25 juillet — un écart qui laisse planer le doute sur une ou plusieurs intrusions distinctes.

Le pirate décrit trois ensembles principaux : environ 236 millions de lignes issues notamment de la Base Élèves 1er Degré (BE1D) et de SCONET pour l'académie de Créteil et le second degré, environ 109 millions de lignes provenant d'I-Prof (gestion des personnels) couvrant les 33 académies françaises, et environ 602 000 entrées issues d'annuaires LDAP des académies de Créteil et Versailles, avec identifiants de comptes et empreintes cryptographiques de mots de passe. Certaines archives remonteraient à 2002-2005, preuve d'une rétention de données sur plus de vingt ans.

Les catégories concernées vont bien au-delà d'un simple annuaire : identité et date de naissance des élèves, informations sur les responsables légaux, données de vie scolaire (cantine, garderie, transport), notes et évaluations issues du livret scolaire, ainsi que grade, affectation et qualifications pour les personnels. Le ministère n'a pas confirmé le volume revendiqué par ZeroBytes ; seul l'échantillon publié permet de vérifier la cohérence de plusieurs formats de fichiers avec les systèmes cités.

Pourquoi c'est important pour les DPO

La présence de données de mineurs change la nature du risque. L'article 8 du RGPD impose une vigilance renforcée sur le traitement des données d'enfants, et le croisement entre identité, parcours scolaire et informations périscolaires peut alimenter des campagnes de phishing très ciblées visant les familles pendant plusieurs années. Cette affaire rappelle d'autres fuites récentes touchant le secteur éducatif, comme celle qui avait exposé des signalements d'élèves via Navigate360 aux États-Unis.

Sur le plan procédural, un responsable de traitement qui prend connaissance d'une violation de cette ampleur doit notifier la CNIL sous 72 heures au titre de l'article 33 du RGPD, puis évaluer si le risque pour les personnes concernées impose une communication individuelle en vertu de l'article 34 — une obligation particulièrement sensible quand des mineurs sont concernés. La présence d'empreintes de mots de passe dans les annuaires LDAP interroge également le niveau des mesures techniques exigées par l'article 32 du RGPD, notamment sur le chiffrement et la gestion des accès à privilèges.

Ce que ça change pour les organisations du secteur éducation

Pour les établissements et administrations qui traitent des données scolaires, cette affaire — comme le rappelle notre guide RGPD dans l'Éducation nationale — impose plusieurs réflexes concrets : cartographier précisément les systèmes historiques encore alimentés en données (BE1D, SCONET, I-Prof, annuaires académiques) et appliquer une politique de purge cohérente avec les durées de conservation réellement nécessaires ; revoir la robustesse des accès VPN et des comptes à privilèges, le vecteur d'intrusion revendiqué par ZeroBytes ; et préparer en amont le plan de communication vers les familles, qui doit être adapté quand des mineurs sont concernés. Les organismes qui découvrent une fuite les concernant peuvent suivre notre guide sur la conduite à tenir face à une violation de données.

Ce que Leto pense de cette décision

Le décalage entre la confirmation ministérielle, minimisée fin juillet, et l'ampleur réelle de la revendication publique trois semaines plus tard illustre un problème récurrent dans la gestion française des incidents : la communication institutionnelle reste en retrait par rapport à la réalité technique, au détriment du droit à l'information des personnes concernées. Avec des données remontant à plus de vingt ans en circulation, cette affaire devrait aussi pousser les administrations à traiter la conservation de données historiques comme un risque de sécurité à part entière, et pas seulement comme une contrainte archivistique.

Sources : Cyberattaque.org, FrenchBreaches