Éducation nationale : 43 Go et 346 millions de lignes revendiqués sur plus de vingt ans de fichiers

Le 17 août 2026, l’acteur ZeroBytes a publié une revendication visant le ministère de l’Éducation nationale, quelques jours après celle portant sur l’administration fiscale. Il affirme avoir obtenu un accès VPN à plusieurs applications académiques et en avoir extrait environ 43 Go de données, réparties dans quelque 2 500 fichiers représentant 346 178 591 lignes brutes non dédoublonnées. Les échantillons diffusés renvoient à des systèmes bien identifiés : BE1D pour le premier degré, SCONET pour le second degré, I-Prof pour la gestion de carrière des personnels des trente-trois académies, des dispositifs de suivi individualisé d’élèves et des annuaires LDAP académiques.

L’écart entre cette revendication et la communication officielle est important. Dans son communiqué du 31 juillet, le ministère a confirmé une intrusion frauduleuse survenue dans la nuit du 25 au 26 juillet, en la circonscrivant au système d’information dédié à la formation des personnels et en indiquant expressément que ni données d’élèves, ni mots de passe, ni informations bancaires n’étaient concernés. La revendication d’août décrit au contraire un périmètre englobant les élèves, leurs responsables légaux et des empreintes de mots de passe, sur une profondeur historique allant de 2002 à 2026.

Aucun élément public ne permet aujourd’hui de trancher entre ces deux récits, ce qui justifie le statut « alléguée ». Les analystes qui ont examiné les échantillons estiment que la structure des fichiers correspond bien aux applications citées, mais nul ne peut vérifier que l’attaquant détient réellement l’intégralité des 346 millions de lignes annoncées, ni que chaque fichier provient du système auquel il est attribué. Le décompte en lignes brutes est par ailleurs trompeur : un même élève apparaît dans plusieurs exports annuels, et le nombre de personnes distinctes est nécessairement très inférieur, comme nous le détaillons dans notre méthode de lecture d’une revendication de fuite.

Si le périmètre revendiqué se confirmait, l’incident deviendrait l’un des plus lourds jamais enregistrés dans l’éducation en France, avec une population particulièrement vulnérable puisqu’elle comprend des mineurs et des données de suivi scolaire. Il s’ajouterait à une série déjà longue pour le ministère, après l’intrusion sur le portail RH Compas en mars 2026, la fuite ÉduConnect en avril et l’incident du système de formation en juillet. Dans l’attente d’un décompte officiel, la vigilance porte surtout sur l’hameçonnage visant les familles, un message évoquant la scolarité d’un enfant nommément désigné restant l’un des leviers les plus efficaces pour obtenir un paiement ou des identifiants.