Éducation nationale : ZeroBytes revendique 346 millions de lignes de données, le même groupe qu'au fisc

Trois jours après avoir revendiqué le piratage du fisc, le pseudonyme ZeroBytes récidive. Le 18 août 2026, il met en vente sur un forum criminel une base présentée comme celle du ministère de l'Éducation nationale : 346 millions de lignes brutes, environ 2 500 fichiers, 43 gigaoctets. Derrière le chiffre spectaculaire, une fuite bien réelle qui touche élèves, personnels et parents.

Ce qui s'est passé

ZeroBytes affirme avoir exploité un accès VPN pour s'introduire dans plusieurs systèmes internes, dont ceux de l'académie de Créteil, les annuaires académiques de Créteil et de Versailles, ainsi que des exports de données provenant des 33 académies françaises. Les fichiers couvriraient une période inhabituellement longue, du début des années 2000 à juillet 2026.

Après dédoublonnage, le volume réel serait de 4,35 millions d'identifiants de personnels (notamment via la plateforme I-Prof, sur plus de vingt ans d'archives) et 1,22 million d'élèves uniques, dont environ 815 000 avec date de naissance et informations de cantine, transport ou accueil périscolaire, et 491 000 avec adresse, niveau scolaire et établissement. Certaines données permettraient de relier élèves, parents et personnels entre eux. Environ 602 000 comptes académiques comporteraient des empreintes de mots de passe.

Le ministère avait confirmé fin juillet 2026 une intrusion frauduleuse dans l'un de ses systèmes d'information, détectée à la suite d'un accès survenu dans la nuit du 25 juillet, avec exfiltration étalée sur plusieurs jours. L'accès externe a été coupé, une cellule de crise activée et une enquête ouverte avec l'ANSSI et la CNIL.

Pourquoi c'est important

ZeroBytes est le pseudonyme déjà associé aux revendications visant la DGFiP et Intermarché Drive ces dernières semaines. Le même acteur qui a mis trois jours à confirmer le vol de 678 000 données fiscales s'attaque désormais à un ministère qui gère des données de mineurs, une catégorie que le RGPD protège particulièrement (article 51 et suivants pour le rôle de l'autorité de contrôle).

L'Éducation nationale n'en est pas à sa première alerte : le ministère avait déjà officialisé en avril 2026 une fuite via ÉduConnect, exploitant une faille distincte de fin 2025. Deux incidents en quelques mois sur le même ministère posent la question de la supervision des comptes à privilèges et des accès VPN hérités, un point déjà soulevé lors du piratage du fisc.

Sur le plan réglementaire, la violation déclenche les obligations classiques : notification à la CNIL sous 72 heures dès la prise de connaissance (article 33 du RGPD), et communication aux personnes concernées en cas de risque élevé (article 34) — un risque manifeste ici, puisque des mineurs et leurs coordonnées familiales figurent parmi les données exposées.

Ce que ça change pour les organisations

Pour les DPO du secteur public comme privé, cet incident confirme une tendance déjà documentée par Leto à propos d'autres fuites touchant le secteur éducatif : les données scolaires, souvent considérées comme peu sensibles, sont en réalité une cible de choix parce qu'elles combinent identité, filiation et parfois données de santé ou de restauration scolaire.

Les réflexes à appliquer restent constants : cartographier précisément les accès distants (VPN, comptes à privilèges) avant qu'un incident ne révèle leur ancienneté, documenter la chaîne de notification en amont plutôt que dans l'urgence, et anticiper une communication différenciée entre personnels et familles d'élèves mineurs. Notre guide sur la conduite à tenir en cas de fuite de données détaille les démarches à 72 heures, côté organisation comme côté personnes concernées.

Ce que Leto pense de cette décision

Un ministère piraté deux fois en quatre mois, par deux méthodes différentes, ce n'est plus un incident isolé : c'est un signal que la remédiation post-ÉduConnect n'a pas couvert l'ensemble de la surface d'attaque. Attendre la revendication d'un pirate pour découvrir l'ampleur réelle d'une intrusion coûte cher en confiance, surtout quand des millions de mineurs sont concernés. La bonne nouvelle, c'est que la cellule de crise et l'implication immédiate de l'ANSSI et de la CNIL montrent une réaction plus rapide qu'au moment du piratage du fisc. La vraie question reste celle de la prévention : combien d'autres accès hérités, jamais audités, dorment encore dans le système d'information de l'Éducation nationale ?

Sources : MacGeneration, FrenchBreaches, Pasquale Pillitteri