Le ministère de l'Éducation nationale a reconnu, le 18 août 2026, l'incident visé par une revendication publiée la veille sur un forum cybercriminel. Un acteur y met en vente ce qu'il présente comme une extraction partielle des systèmes du ministère : environ 43 Go répartis sur près de 2 600 fichiers, soit quelque 346 millions de lignes brutes non dédupliquées. Il revendique 4,35 millions d'identifiants d'agents distincts et 1,22 million d'élèves distincts. Aucun échantillon n'accompagne l'annonce : l'acteur invoque la taille du répertoire et propose un extrait sur demande. Aucun de ces volumes n'est donc vérifiable en l'état, et tous reposent sur sa seule déclaration.
D'après l'inventaire publié avec la revendication, l'ensemble se diviserait en trois blocs : les applications de scolarité de l'académie de Créteil et leur volet national - gestion des élèves du premier degré, gestion des élèves du second degré à l'échelle nationale, suivi des élèves en risque de décrochage -, pour environ 24 Go ; les exports de la base de gestion de carrière des personnels, pour trente-trois académies et environ 17,8 Go ; enfin les annuaires d'identité numérique des académies de Créteil et de Versailles, environ 1,6 Go pour un peu plus de 600 000 entrées. L'acteur précise lui-même que ses 4,35 millions d'identifiants d'agents recouvrent des décennies de dossiers, anciens agents et retraités compris, et rappelle que la France compte environ 850 000 enseignants en activité - une mise en garde rare dans une annonce de vente, et qui va contre l'intérêt du vendeur.
Le mode opératoire décrit est le point le plus instructif de l'annonce. La revendication fait état d'un accès obtenu par un service d'accès distant, puis de la collecte de jeux d'export déjà présents sur l'infrastructure académique. Les dates l'indiquent : les ensembles annoncés portent des dates de production échelonnées du 3 juin au 25 juillet 2026, dont deux antérieures à toute date d'intrusion évoquée. Ils ne peuvent donc pas avoir été fabriqués par l'attaquant et devaient déjà se trouver sur le serveur. Un seul aurait été produit à la demande, depuis une console d'administration de base de données, le 25 juillet 2026.
Ce que l'annonce décrit n'est donc pas une intrusion dans chacune des applications concernées, mais la copie d'un serveur sur lequel leurs fichiers d'export s'accumulaient. Un seul accès suffit alors à expliquer six ensembles de nature différente, là où l'énumération du périmètre donnerait à croire à autant d'atteintes distinctes.
Ce périmètre déborde celui que le ministère a rendu public le 31 juillet 2026. Le ministère y faisait état d'un accès frauduleux survenu dans la nuit du 25 juillet, obtenu après usurpation d'un compte professionnel, visant le système dédié à la formation des personnels et concernant les agents ayant exercé en académie depuis 2001 ; il excluait explicitement les données bancaires, les mots de passe et les données relatives aux élèves. Or la revendication du 17 août place précisément les mots de passe et les données d'élèves au centre de son offre.
Deux éléments rapprochent les deux récits : la population décrite par le ministère est recouverte par le bloc de gestion de carrière revendiqué ici, et l'unique export produit à la demande porte la date du 25 juillet, celle de l'intrusion déclarée.
Le ministère a tranché une partie de la question le 18 août 2026, au lendemain de la mise en vente. Son communiqué vise les publications intervenues la veille et le fait qu'elles revendiquent la détention de données relatives à des élèves, et rattache l'épisode à l'intrusion du 25 juillet. Il indique que les personnels susceptibles d'être concernés ont été informés individuellement, fait état d'une plainte contre X déposée auprès du parquet de Paris, et de la saisine de l'ANSSI et de la CNIL. C'est un déplacement notable : le communiqué du 31 juillet excluait explicitement les données d'élèves, celui du 18 août les reconnaît comme revendiquées.
Cette reconnaissance porte sur le principe, pas sur l'ampleur. Le ministère ne valide aucun des volumes annoncés, ni les 43 Go, ni les 2 600 fichiers, ni les 346 millions de lignes, ni les 815 000 élèves de Créteil. Aucune académie n'est nommée, et les expertises techniques se poursuivent, précise-t-il, pour établir la nature exacte et l'étendue des données exfiltrées. Les volumes restent donc, à ce jour, la seule parole de l'acteur.
Si le périmètre revendiqué se vérifiait, le risque porterait moins sur la fraude bancaire - aucune donnée de paiement n'est revendiquée - que sur trois autres terrains. L'usurpation d'identité durable d'abord, l'identifiant national élève et l'état civil complet ne s'annulant pas avec la fin de la scolarité. L'hameçonnage ciblé ensuite, la connaissance de l'affectation et de la fonction rendant crédible un message présenté comme interne à l'institution. La reprise de comptes enfin, les empreintes de mots de passe citées étant d'une génération qui résiste mal au cassage hors ligne.
Détails techniques :
- Volume annoncé : environ 43 Go répartis sur près de 2 600 fichiers
- Environ 346 millions de lignes brutes non dédupliquées, selon l'annonce
- Trois blocs annoncés : environ 24 Go de scolarité, 17,8 Go de gestion de carrière, 1,6 Go d'annuaires
- Ancienneté annoncée : jusqu'à 2002 pour la gestion de carrière, 2005 pour la scolarité
- Dates de production des exports : 3 juin, 20 juillet et 25 juillet 2026
- Accès obtenu par un service d'accès distant, selon la revendication
- Aucun échantillon fourni, aucun volume vérifiable en l'état
Données concernées :
- Aucune donnée confirmée publiquement à ce stade.
Données annoncées non vérifiées :
- Nom complet, date et lieu de naissance
- Adresse email, numéro de téléphone, adresse postale
- Identifiant national élève (INE) et identifiants internes ou de connexion
- Mots de passe (empreintes/hachés) et clés d'accès aux serveurs
- Dossier scolaire et données de scolarité, données concernant des mineurs
- Absences, entretiens et décisions pour les élèves suivis contre le décrochage
- Situation familiale et coordonnées des responsables légaux
- Données d'emploi et informations professionnelles (affectation, dossier de carrière)
- Rôles ou droits d'accès, champs libres contenus dans les exports
Mentions :
Statut Fuites Infos : Confirmée par le ministère