Une nouvelle affaire de cybersécurité majeure touche la France. Le cybercriminel ZeroBytes, déjà associé à plusieurs revendications récentes, affirme avoir récupéré environ 43 Go de données provenant de plusieurs systèmes de l’Éducation nationale.

⚠️ DGFiP : ZeroBytes revendique un piratage massif

Selon les éléments communiqués à FrenchBreaches, l’ensemble représenterait près de 2 500 fichiers et exactement 346 178 591 lignes brutes, avec des informations concernant potentiellement des élèves, des parents, des enseignants, des personnels administratifs et des comptes académiques.

Un point est essentiel : 346 millions de lignes ne signifient absolument pas 346 millions de victimes. Les bases sont présentées comme non dédupliquées et une même personne peut apparaître à de nombreuses reprises.

Le ministère avait déjà confirmé une intrusion fin juillet

L’existence d’une cyberattaque contre l’Éducation nationale n’est pas uniquement une revendication du pirate.

Le 31 juillet 2026, le ministère de l’Éducation nationale a officiellement annoncé avoir subi une intrusion frauduleuse dans l’un de ses systèmes d’information.

Selon le communiqué officiel, l’accès frauduleux avait été réalisé dans la nuit du 25 juillet 2026 à la suite de l’usurpation d’un compte professionnel. Le système visé était alors présenté comme celui consacré à la formation des personnels.

Le ministère indiquait que l’intrusion avait pu permettre l’exfiltration de données personnelles concernant un nombre important d’agents ayant exercé en académie depuis 2001.

Le ministère précisait toutefois que le système officiellement identifié à ce moment-là ne contenait ni données bancaires, ni mots de passe, ni données concernant les élèves.

La nouvelle revendication de ZeroBytes décrit donc un périmètre beaucoup plus large que celui officiellement confirmé jusqu’à présent. Ce périmètre supplémentaire doit encore être vérifié indépendamment.

346 178 591 lignes et près de 2 500 fichiers revendiqués

D’après les informations publiées par FrenchBreaches le 17 août 2026, ZeroBytes revendique :

• 346 178 591 lignes brutes non dédupliquées ;
• environ 43 Go de données ;
• près de 2 500 fichiers ;
• des données provenant de plusieurs systèmes de l’Éducation nationale ;
• des informations remontant pour certaines au début des années 2000 ;
• des fichiers contenant des données mises à jour jusqu’en 2026.

La profondeur historique est particulièrement importante : si la revendication est authentique dans son intégralité, plus de vingt années de données scolaires et professionnelles pourraient être présentes.

ZeroBytes affirme être passé par un accès VPN

Selon le récit de ZeroBytes rapporté par FrenchBreaches, le pirate aurait obtenu un accès VPN lui permettant d’atteindre différents environnements internes et applications de l’Éducation nationale.

Il affirme ensuite avoir extrait plusieurs groupes de fichiers représentant environ 43 Go.

• environ 24 Go provenant principalement de systèmes associés à l’académie de Créteil ainsi que de certaines données de portée nationale ;
• environ 17,8 Go de données présentées comme provenant d’I-Prof et couvrant les 33 académies françaises ;
• environ 1,6 Go provenant d’annuaires académiques concernant Créteil et Versailles.

Le scénario de l’accès VPN, son origine exacte et le niveau de privilèges obtenu ne sont pas officiellement confirmés à ce stade.

Des élèves du primaire seraient également concernés

Parmi les éléments les plus préoccupants figure une extraction présentée comme provenant de la Base Élèves 1er Degré, ou BE1D, utilisée pour la gestion administrative des élèves des écoles maternelles et élémentaires.

FrenchBreaches rapporte qu’environ 5,5 Go répartis dans plus de 200 fichiers seraient concernés.

Les informations revendiquées pourraient notamment comprendre :

• l’identité des élèves ;
• les dates et lieux de naissance ;
• les identifiants scolaires ;
• les inscriptions ;
• le parcours scolaire ;
• les établissements fréquentés ;
• la restauration scolaire ;
• le transport scolaire ;
• la garderie ;
• les parents ou responsables légaux ;
• les coordonnées et adresses de contact.

Certaines de ces données remonteraient à 2005.

Les parents et responsables légaux pourraient également apparaître dans les fichiers

L’une des particularités de la fuite revendiquée réside dans la possibilité de relier certaines informations concernant un enfant à celles de ses parents ou responsables légaux.

Si les fichiers sont authentiques, un attaquant pourrait donc potentiellement reconstituer une partie de l’environnement familial et scolaire d’un mineur.

La présence possible de données concernant des enfants rend cette affaire particulièrement sensible.

SCONET : des données concernant les élèves du secondaire

Plusieurs exports du système SCONET, utilisé pour la gestion des élèves du second degré, figureraient également parmi les fichiers revendiqués.

FrenchBreaches évoque notamment un ensemble d’environ 8,5 Go correspondant à l’année scolaire 2024-2025 et un autre d’environ 5,7 Go pour 2025-2026.

Ils pourraient contenir des informations relatives aux inscriptions, établissements, coordonnées, parcours scolaires, évaluations, compétences, vie scolaire, suivi du décrochage ou encore certaines périodes de formation professionnelle.

Certaines informations de ces systèmes remonteraient à 2016.

Des données de suivi d’élèves en difficulté revendiquées

La revendication comprendrait également des données provenant d’un système utilisé pour le suivi individualisé de certains élèves.

Ces fichiers couvriraient les années scolaires 2020-2021 à 2025-2026 et pourraient notamment contenir des informations concernant :

• les absences ;
• les dossiers de suivi ;
• les convocations ;
• les entretiens ;
• les établissements ;
• certaines décisions d’accompagnement.

Si leur authenticité est confirmée, la présence de telles informations constituerait l’un des volets les plus sensibles de cette fuite.

I-Prof : 17,8 Go de données provenant des 33 académies revendiqués

Les personnels de l’Éducation nationale seraient également massivement représentés.

ZeroBytes affirme avoir récupéré près de 17,8 Go de données provenant d’I-Prof, le système utilisé notamment pour différentes informations administratives et professionnelles des personnels.

Les fichiers revendiqués couvriraient les 33 académies françaises, en métropole comme en outre-mer.

Les données pourraient inclure :

• l’identité ;
• la date de naissance ;
• les coordonnées ;
• l’adresse e-mail académique ;
• les identifiants administratifs ;
• le corps et le grade ;
• les affectations ;
• la situation professionnelle ;
• les contrats ;
• les qualifications et diplômes ;
• les formations ;
• les disponibilités ;
• l’historique de certaines sessions administratives.

Selon les données communiquées par ZeroBytes, environ 4,35 millions d’identifiants de personnels uniques apparaîtraient après déduplication d’une partie des données I-Prof.

Ce chiffre ne signifie pas que 4,35 millions d’enseignants actuellement en poste auraient été piratés. Les bases pourraient comprendre d’anciens personnels, des retraités, des personnels administratifs et plusieurs décennies d’historique.

Plus de 600 000 entrées dans des annuaires de Créteil et Versailles

Deux extractions d’annuaires LDAP/OpenAM concernant les académies de Créteil et Versailles seraient également présentes.

• 399 305 entrées seraient associées à Créteil ;
• 202 977 entrées à Versailles.

Au total, cela représente un peu plus de 602 000 entrées de comptes.

Ces annuaires pourraient comporter des enseignants, des agents, des élèves, des administrateurs et des comptes techniques.

⚠️ Des empreintes cryptographiques de mots de passe seraient présentes

FrenchBreaches signale également la présence revendiquée d’empreintes cryptographiques de mots de passe dans certaines extractions d’annuaires.

Il ne s’agit pas nécessairement de mots de passe enregistrés directement en clair. Une empreinte, ou hash, est une valeur produite à partir du mot de passe par un mécanisme cryptographique.

Sa compromission reste néanmoins préoccupante : selon l’algorithme utilisé et la robustesse du mot de passe, un attaquant peut tenter des opérations de cassage hors ligne. Les personnes réutilisant le même mot de passe sur plusieurs services seraient particulièrement exposées en cas de récupération du mot de passe d’origine.

Cette présence d’empreintes de mots de passe est revendiquée par ZeroBytes mais n’est pas confirmée à ce stade par le ministère.

Les 346 millions de lignes ne représentent pas 346 millions de personnes

Ce point est essentiel pour ne pas transformer le volume technique de la fuite en un chiffre trompeur.

Les 346 178 591 lignes sont des enregistrements bruts. Un élève peut apparaître plusieurs fois au cours de sa scolarité, tout comme un enseignant peut avoir plusieurs enregistrements correspondant à différentes affectations, formations ou opérations administratives.

FrenchBreaches indique qu’environ 1,22 million d’élèves uniques auraient été identifiés dans certains ensembles analysés et environ 4,35 millions d’identifiants de personnels dans une partie des données I-Prof.

Ces deux chiffres ne peuvent toutefois pas être simplement additionnés, car plusieurs bases peuvent contenir les mêmes personnes.

Le nombre total de personnes uniques concernées reste donc inconnu.

Quels risques pour les élèves, parents et personnels ?

Le risque principal ne vient pas uniquement du volume de données, mais surtout de la possibilité de recouper plusieurs informations fiables concernant une même personne.

Les données revendiquées pourraient faciliter :

• des campagnes de phishing ciblées ;
• des tentatives d’usurpation d’identité ;
• des SMS et appels frauduleux ;
• des messages usurpant une académie, un établissement ou le ministère ;
• des attaques d’ingénierie sociale ;
• le recoupement avec d’autres fuites de données ;
• des tentatives de compromission de comptes ;
• des fraudes visant spécifiquement les personnels ;
• des campagnes ciblant les parents ou responsables légaux.

Un fraudeur connaissant véritablement l’établissement d’un enfant, l’identité de ses parents, son parcours scolaire ou l’affectation professionnelle d’un enseignant peut construire un message beaucoup plus crédible qu’un phishing classique.

Ce qui est officiellement confirmé

À ce stade, il faut distinguer clairement les faits établis des revendications du cybercriminel.

• Le ministère de l’Éducation nationale a officiellement confirmé une intrusion dans l’un de ses systèmes d’information.
• L’accès frauduleux officiellement identifié s’est produit dans la nuit du 25 juillet 2026.
• Le ministère évoque l’usurpation d’un compte professionnel.
• Des données personnelles concernant un nombre important d’agents ont potentiellement été exfiltrées.
• Les données du système officiellement identifié concernent des personnels ayant exercé en académie depuis 2001.
• Le ministère a saisi l’ANSSI et la CNIL et a déposé plainte.

Ce que ZeroBytes revendique mais qui reste à confirmer

• 346 178 591 lignes récupérées ;
• environ 43 Go de données ;
• près de 2 500 fichiers ;
• l’accès à plusieurs systèmes de l’Éducation nationale ;
• l’utilisation d’un accès VPN ;
• des données concernant des élèves et leurs responsables légaux ;
• des données I-Prof couvrant les 33 académies ;
• plus de 600 000 entrées issues d’annuaires académiques ;
• des empreintes de mots de passe ;
• plus de vingt années d’historique dans certains ensembles.

L’authenticité complète des fichiers, leur exhaustivité et leur relation exacte avec l’incident officiellement reconnu par le ministère restent à établir.

🔎 Analyse DUC

Cette affaire doit être traitée avec beaucoup de prudence. L’intrusion de l’Éducation nationale est bien réelle et officiellement confirmée. En revanche, le gigantesque périmètre présenté aujourd’hui provient principalement de ZeroBytes.

Il serait donc incorrect d’affirmer aujourd’hui que l’Éducation nationale confirme une fuite de 346 millions de données ou plusieurs millions de victimes. Elle ne le fait pas.

Mais si une partie importante de la revendication est authentifiée, nous ne serions plus face à la compromission isolée d’une seule application. Nous aurions potentiellement plusieurs systèmes et plusieurs générations d’élèves et de personnels réunis dans un même ensemble.

Le point qui m’inquiète particulièrement est le recoupement possible des informations. Une adresse, un établissement scolaire ou un nom pris séparément ont une valeur limitée. Ajoutez-y les parents, le parcours scolaire, l’adresse e-mail, la fonction professionnelle et éventuellement des informations d’authentification : le potentiel d’ingénierie sociale devient beaucoup plus important.

Après les différentes fuites de données observées récemment en France, la question n’est donc plus seulement de protéger un mot de passe. Il faut aussi apprendre à considérer comme potentiellement connues des informations personnelles qui étaient auparavant utilisées pour nous identifier ou nous mettre en confiance.

✍️ DUC
📌 Sources : FrenchBreaches — 17 août 2026 | Ministère de l’Éducation nationale — communiqué officiel du 31 juillet 2026