Le ministère de l'Éducation nationale fait l'objet d'une revendication publiée le 17 août 2026 sur un forum cybercriminel. Un acteur y met en vente ce qu'il présente comme une extraction partielle des systèmes du ministère : environ 43 Go répartis sur près de 2 600 fichiers, soit quelque 346 millions de lignes brutes non dédupliquées. Il revendique 4,35 millions d'identifiants d'agents distincts et 1,22 million d'élèves distincts. Aucun échantillon n'accompagne l'annonce : l'acteur invoque la taille du répertoire et propose un extrait sur demande. Aucun de ces volumes n'est donc vérifiable en l'état, et tous reposent sur sa seule déclaration.
D'après l'inventaire publié avec la revendication, l'ensemble se diviserait en trois blocs : les applications de scolarité de l'académie de Créteil et leur volet national - gestion des élèves du premier degré, gestion des élèves du second degré à l'échelle nationale, suivi des élèves en risque de décrochage -, pour environ 24 Go ; les exports de la base de gestion de carrière des personnels, pour trente-trois académies et environ 17,8 Go ; enfin les annuaires d'identité numérique des académies de Créteil et de Versailles, environ 1,6 Go pour un peu plus de 600 000 entrées. L'acteur précise lui-même que ses 4,35 millions d'identifiants d'agents recouvrent des décennies de dossiers, anciens agents et retraités compris, et rappelle que la France compte environ 850 000 enseignants en activité - une mise en garde rare dans une annonce de vente, et qui va contre l'intérêt du vendeur.
Le mode opératoire décrit est le point le plus instructif de l'annonce. La revendication fait état d'un accès obtenu par un service d'accès distant, puis de la collecte de jeux d'export déjà présents sur l'infrastructure académique. Les dates l'indiquent : les ensembles annoncés portent des dates de production échelonnées du 3 juin au 25 juillet 2026, dont deux antérieures à toute date d'intrusion évoquée. Ils ne peuvent donc pas avoir été fabriqués par l'attaquant et devaient déjà se trouver sur le serveur. Un seul aurait été produit à la demande, depuis une console d'administration de base de données, le 25 juillet 2026.
Ce que l'annonce décrit n'est donc pas une intrusion dans chacune des applications concernées, mais la copie d'un serveur sur lequel leurs fichiers d'export s'accumulaient. Un seul accès suffit alors à expliquer six ensembles de nature différente, là où l'énumération du périmètre donnerait à croire à autant d'atteintes distinctes.
Ce périmètre déborde celui que le ministère a rendu public le 31 juillet 2026. Le ministère y faisait état d'un accès frauduleux survenu dans la nuit du 25 juillet, obtenu après usurpation d'un compte professionnel, visant le système dédié à la formation des personnels et concernant les agents ayant exercé en académie depuis 2001 ; il excluait explicitement les données bancaires, les mots de passe et les données relatives aux élèves. Or la revendication du 17 août place précisément les mots de passe et les données d'élèves au centre de son offre.
Deux éléments rapprochent pourtant les deux récits : la population décrite par le ministère est recouverte par le bloc de gestion de carrière revendiqué ici, et l'unique export produit à la demande porte la date du 25 juillet, celle de l'intrusion déclarée. Les deux ne se recoupent cependant sur aucune source officielle. Une exclusion posée par le ministère sur le système qu'il a lui-même identifié ne vaut pas démenti de l'annonce, et l'annonce ne vaut pas davantage démenti du communiqué.
Si la revendication se vérifiait, le risque porterait moins sur la fraude bancaire - aucune donnée de paiement n'est revendiquée - que sur trois autres terrains. L'usurpation d'identité durable d'abord, l'identifiant national élève et l'état civil complet ne s'annulant pas avec la fin de la scolarité. L'hameçonnage ciblé ensuite, la connaissance de l'affectation et de la fonction rendant crédible un message présenté comme interne à l'institution. La reprise de comptes enfin, les empreintes de mots de passe citées étant d'une génération qui résiste mal au cassage hors ligne.
Détails techniques :
- Volume annoncé : environ 43 Go répartis sur près de 2 600 fichiers
- Environ 346 millions de lignes brutes non dédupliquées, selon l'annonce
- Trois blocs annoncés : environ 24 Go de scolarité, 17,8 Go de gestion de carrière, 1,6 Go d'annuaires
- Ancienneté annoncée : jusqu'à 2002 pour la gestion de carrière, 2005 pour la scolarité
- Dates de production des exports : 3 juin, 20 juillet et 25 juillet 2026
- Accès obtenu par un service d'accès distant, selon la revendication
- Aucun échantillon fourni, aucun volume vérifiable en l'état
Données concernées :
- Aucune donnée confirmée publiquement à ce stade.
Données annoncées non vérifiées :
- Nom complet, date et lieu de naissance
- Adresse email, numéro de téléphone, adresse postale
- Identifiant national élève (INE) et identifiants internes ou de connexion
- Mots de passe (empreintes/hachés) et clés d'accès aux serveurs
- Dossier scolaire et données de scolarité, données concernant des mineurs
- Absences, entretiens et décisions pour les élèves suivis contre le décrochage
- Situation familiale et coordonnées des responsables légaux
- Données d'emploi et informations professionnelles (affectation, dossier de carrière)
- Rôles ou droits d'accès, champs libres contenus dans les exports
Mentions :
Statut Fuites Infos : Revendiquée