Éducation nationale : une fuite géante revendiquée à deux semaines de la rentrée, ce que les familles doivent savoir

Le pirate qui a fait plier le fisc la semaine dernière annonce une nouvelle victime, et pas des moindres. Dans la nuit du 17 au 18 août, le cybercriminel ZeroBytes a revendiqué une intrusion massive dans plusieurs systèmes de l’Éducation nationale : environ 43 Go de données réparties dans quelque 2 500 fichiers, soit, selon lui, 346 millions de lignes couvrant plus de vingt ans d’informations sur les élèves, leurs parents et les personnels.

Le ministère n’a pas confirmé à ce stade, et les chiffres avancés doivent être pris pour ce qu’ils sont : la parole d’un criminel. Mais la revendication est détaillée, partiellement étayée par des échantillons examinés par des spécialistes, et son timing interpelle : à quinze jours de la rentrée scolaire, période où des millions de familles attendent justement des messages de l’école. Voici ce qu’il faut comprendre, et comment s’y préparer sereinement.

Ce que revendique le pirate

D’après les éléments publiés et analysés notamment par le média spécialisé FrenchBreaches, les données proviendraient de plusieurs systèmes distincts :

• La Base Élèves du premier degré, utilisée pour la gestion des écoles maternelles et élémentaires, avec des enregistrements remontant à 2005 pour l’académie de Créteil : identités, dates et lieux de naissance, adresses, identifiants nationaux élèves, informations sur les responsables légaux, historiques d’inscription.
• Des exports de systèmes nationaux portant sur 2025 et 2026 : notes, évaluations, compétences, absences, orientation, jusqu’à des dossiers disciplinaires.
• Des fichiers de suivi individualisé couvrant les années 2020 à 2026, concernant des élèves en difficulté ou en situation de décrochage.
• Des annuaires académiques et l’outil de gestion de carrière des enseignants, à l’échelle nationale, touchant les académies de Créteil et Versailles notamment.
• Et surtout, l’élément le plus critique : deux annuaires totalisant environ 600 000 comptes, incluant des empreintes de mots de passe.

L’accès aurait été obtenu, selon le pirate, via un VPN, un mode opératoire proche de celui qu’il décrit pour l’intrusion à la DGFiP. Précision indispensable : 346 millions de lignes ne signifient pas 346 millions de personnes. Un même élève ou agent apparaît de nombreuses fois au fil de son parcours, et le périmètre réel reste entièrement à établir.

Le quatrième coup en six mois

Pour l’Éducation nationale, l’année 2026 vire au cauchemar : les données de 243 000 stagiaires en mars, une fuite liée à ÉduConnect en avril, l’intrusion dans le système de formation des personnels en juillet, et maintenant cette revendication tentaculaire. Le ministère avait d’ailleurs confirmé fin juillet qu’une intrusion avait pu conduire à l’exfiltration de données d’un nombre important de ses agents ; reste à déterminer si la présente revendication recouvre cet incident ou en constitue un nouveau.

Quant à ZeroBytes, sa crédibilité a malheureusement été renforcée la semaine dernière : sa revendication contre le fisc a été suivie d’une confirmation officielle de Bercy. C’est précisément ce qui oblige à prendre celle-ci au sérieux, sans pour autant valider ses chiffres.

Pourquoi les empreintes de mots de passe changent la donne

Un point technique mérite qu’on s’y arrête, car il illustre parfaitement pourquoi la qualité de vos mots de passe compte même quand ils ne fuient pas « en clair ».

Les systèmes sérieux ne stockent pas vos mots de passe directement, mais leur empreinte (un hachage) : une transformation à sens unique qui ne permet pas, en théorie, de retrouver le mot de passe d’origine. Sauf que les attaquants n’ont pas besoin d’inverser quoi que ce soit : ils testent des milliards de mots de passe candidats, calculent leur empreinte et comparent. Les mots de passe courts, courants ou prévisibles (un prénom et une année, un mot du dictionnaire maquillé) tombent en quelques heures. Les mots de passe longs et réellement aléatoires, eux, restent hors de portée, car l’univers de combinaisons à tester est trop vaste.

Autrement dit : si ces 600 000 empreintes sont authentiques, le sort de chaque compte dépend maintenant de la solidité du mot de passe choisi à l’époque. C’est exactement la raison d’être des mots de passe générés aléatoirement : ils protègent même quand la base qui les stocke est volée.

Parents, élèves, personnels : les réflexes pour la rentrée

Le vrai risque des semaines à venir n’est pas technique, il est humain : la rentrée est la période parfaite pour le phishing scolaire. Des millions de familles attendent des messages d’établissements, de rectorats, de plateformes comme Pronote ou ÉduConnect. Un escroc disposant du nom de votre enfant, de son établissement et de vos coordonnées peut fabriquer des messages criants de vérité.

1. Méfiez-vous de tout message scolaire demandant une action urgente : réactivation de compte, mise à jour de dossier, paiement de cantine ou de fournitures, documents à valider. Ne cliquez pas : connectez-vous vous-même à la plateforme habituelle en tapant son adresse, ou appelez l’établissement.
2. Un message qui connaît des détails vrais n’est pas forcément légitime. Nom de l’enfant, classe, école : partez du principe que ces informations peuvent être entre de mauvaises mains, et jugez un message à ce qu’il demande, jamais à ce qu’il sait.
3. Changez les mots de passe des comptes liés à l’école (ÉduConnect, espaces parents, messagerie académique pour les personnels), surtout s’ils sont anciens ou réutilisés ailleurs. Optez pour des mots de passe uniques et générés aléatoirement, ce qu’un générateur de mots de passe fait en quelques secondes. Pour les personnels : si votre mot de passe académique ressemble à un mot de passe que vous utilisez ailleurs, changez les deux.
4. Activez la double authentification partout où elle est proposée, en priorité sur votre messagerie personnelle, celle qui sert à réinitialiser tous les autres comptes.
5. Parlez-en avec vos enfants, en particulier les collégiens et lycéens qui gèrent leurs propres comptes : un message « de l’école » demandant leur mot de passe est une arnaque, toujours.
6. Personnels : signalez tout message suspect à votre référent sécurité académique, et restez attentifs aux consignes officielles du ministère dans les prochains jours.

Ce qu’il faut retenir

Une revendication n’est pas une confirmation, et l’ampleur réelle de cette fuite reste à établir. Mais entre un pirate dont la précédente annonce s’est vérifiée, des échantillons partiellement authentifiés et un calendrier qui place des millions de familles en situation d’attente de messages scolaires, la prudence commande d’agir comme si les données circulaient déjà : juger les messages à ce qu’ils demandent, verrouiller les comptes scolaires et la messagerie familiale.

Et cette affaire offre une leçon durable : quand une base fuite, les mots de passe robustes et aléatoires survivent, les mots de passe humains tombent. Faites en sorte d’être dans la première catégorie, compte après compte, en commençant dès aujourd’hui sur FortixPass.