Ce qui est certain : il y a bien eu intrusion

Premier point important : l’attaque informatique n’est pas une invention du pirate.

Le ministère français de l’Éducation nationale avait reconnu dès le 31 juillet avoir subi une intrusion frauduleuse dans la nuit du 25 juillet 2026. Selon son communiqué officiel, l’accès aurait été obtenu après l’usurpation d’un compte professionnel. Le système initialement identifié comme compromis concernait la formation des personnels.

Le ministère indiquait alors que les informations potentiellement dérobées concernaient des agents ayant travaillé dans les académies depuis 2001 : identité, fonction, statut professionnel et, pour certains, adresse postale, téléphone et numéro de sécurité sociale.

À ce moment-là, l’administration affirmait explicitement que le système concerné ne contenait aucune donnée relative aux élèves.

Trois semaines plus tard, cette certitude est sérieusement ébranlée.

ZeroBytes revendique « 346 millions de lignes »

Le 17 août, ZeroBytes affirme publiquement avoir extrait quelque 346 millions de lignes de données de systèmes liés à l’Éducation nationale.

Attention au chiffre : 346 millions de lignes ne signifient absolument pas 346 millions de personnes. Une seule personne peut apparaître des dizaines ou centaines de fois dans différentes tables informatiques : identité, scolarité, établissement fréquenté, années successives, coordonnées des parents, décisions d’orientation, etc.

ZeroBytes affirme toutefois disposer de données concernant plusieurs millions d’élèves ainsi que plusieurs dizaines de milliers d’enseignants. Le Monde a pu examiner un échantillon publié par les pirates. Le quotidien indique qu’il contient effectivement des informations personnelles récentes concernant des élèves : adresses, numéros de téléphone, courriels, choix de classes, informations concernant les parents et commentaires d’enseignants.

D’autres fichiers comporteraient également des données personnelles d’enseignants, notamment dans les académies de Créteil et Versailles.

L’échantillon ne permet cependant pas d’authentifier l’ensemble des 346 millions de lignes revendiquées.

SIECLE au cœur des interrogations

L’un des éléments les plus préoccupants concerne SIECLE, le système d’information utilisé notamment par les établissements du second degré pour gérer la scolarité des élèves.

Selon les éléments consultés par Le Monde, certaines données revendiquées par ZeroBytes semblent provenir de cet environnement. Les pirates prétendent également avoir récupéré des informations concernant des élèves identifiés comme présentant un risque de décrochage scolaire.

Si cela était confirmé, le problème changerait complètement de dimension.

On ne parlerait plus seulement d’un fichier administratif contenant noms et adresses, mais potentiellement de morceaux entiers du parcours scolaire de millions de personnes.

Le ministère lui-même a d’ailleurs changé de formulation.

Dans un nouveau communiqué publié le 18 août, il reconnaît que les publications apparues en ligne revendiquent désormais la détention de données relatives à des élèves et indique poursuivre ses expertises techniques pour déterminer « la nature exacte et l’étendue des données exfiltrées ».

Autrement dit : le vol de données d’élèves n’est pas encore officiellement quantifié, mais il n’est plus écarté.

Qui se cache derrière ZeroBytes ? C’est ici que les certitudes deviennent beaucoup plus rares.

ZeroBytes est avant tout un pseudonyme utilisé sur des espaces fréquentés par les cybercriminels pour publier ou revendre des bases de données piratées. Ceux qui l’utilisent se présentent comme un duo français. Cette affirmation n’est cependant pas, à ce stade, publiquement authentifiée par une enquête judiciaire.

Il faut donc éviter une confusion fréquente : connaître le pseudonyme d’un attaquant ne signifie pas connaître son identité.

On ignore publiquement leurs noms, leur localisation exacte, leurs compétences respectives, leur infrastructure technique et même si ZeroBytes correspond réellement à deux individus seulement.

Ce que l’on peut en revanche observer est un mode opératoire.

ZeroBytes cherche manifestement autant la donnée que la visibilité. Les revendications sont accompagnées de messages provocateurs adressés directement aux administrations attaquées. Le groupe affirme avoir été détecté sans avoir été immédiatement expulsé du réseau de l’Éducation nationale.

Cette version reste celle du pirate. Elle n’a pas été confirmée par les autorités.

Le précédent très embarrassant du fisc . ZeroBytes n’est pas apparu avec l’Éducation nationale.

Quelques jours auparavant, le même pseudonyme avait revendiqué le piratage de données détenues par la Direction générale des finances publiques.

Dans cette affaire, la mécanique avait déjà été inquiétante : revendication publique du pirate, publication d’échantillons, puis reconnaissance par Bercy d'une intrusion et d’une fuite de données.

Le pirate affirmait avoir accédé à un système interne via un accès distant. Les autorités avaient reconnu que son accès avait été interrompu fin juin, mais que l’exfiltration de données n’avait pas été détectée à ce moment-là.

Cette succession d’affaires donne évidemment davantage de crédibilité aux nouvelles déclarations de ZeroBytes.

Crédibilité ne signifie toutefois pas preuve.

Un cybercriminel peut posséder une partie importante d’une base tout en exagérant volontairement son ampleur pour augmenter sa valeur marchande, renforcer sa réputation ou faire pression sur sa victime.

Pourquoi ces données sont particulièrement dangereuses. Le vol d’un fichier contenant des millions d’adresses électroniques est déjà préoccupant.

Celui d’une base permettant de croiser identité, domicile, numéro de téléphone, établissement scolaire, parents, professeur et parcours scolaire change radicalement la nature du risque.

Ces informations permettent de fabriquer des campagnes de phishing extrêmement crédibles.

Un parent recevant un message contenant le vrai prénom de son enfant, le nom de son établissement et sa classe sera beaucoup plus susceptible de croire à une demande frauduleuse de paiement ou de connexion à un service scolaire.

Les risques d’usurpation d’identité, d’arnaques personnalisées et de harcèlement augmentent également.

Le ministère appelle d’ailleurs explicitement élèves, familles et personnels à se méfier des messages demandant mots de passe, identifiants ou informations bancaires.

Une affaire désormais beaucoup plus grande que ZeroBytes. L’identité exacte de ZeroBytes finira peut-être par être découverte par les enquêteurs. Mais ce n’est probablement déjà plus la question essentielle.

En quelques semaines, des systèmes contenant des informations fiscales puis éducatives parmi les plus sensibles de l’État français ont été compromis ou revendiqués comme tels.

Dans le cas de l’Éducation nationale, le ministère gère environ 12 millions d’élèves, près de 20 millions de parents et 1,2 million d’agents.

Il suffit qu’une fraction de cet écosystème soit effectivement accessible à des pirates pour transformer une intrusion informatique en problème de sécurité publique.

Pour l’instant, trois niveaux de certitude doivent donc être soigneusement séparés.

L’intrusion du 25 juillet est confirmée. Une exfiltration de données de personnels est confirmée. La possession par ZeroBytes de données concernant massivement élèves et familles est désormais suffisamment crédible pour que le ministère mène des vérifications supplémentaires, mais son ampleur exacte reste inconnue.

Quant aux « 346 millions de lignes », elles constituent une revendication du pirate, pas encore un bilan officiel.

C’est peut-être finalement le fait le plus inquiétant de cette affaire : au 19 août 2026, celui qui semble connaître le mieux l’étendue réelle des données volées est encore celui qui affirme les avoir volées.