43 gigaoctets, près de 2 500 fichiers et 346 millions de lignes. Le cybercriminel ZeroBytes affirme avoir exfiltré une quantité massive de données appartenant à l’Éducation nationale. Les fichiers revendiqués couvriraient plus de vingt ans d’historique et concerneraient des élèves, des parents, des enseignants et des personnels administratifs. Ces chiffres doivent toutefois être considérés avec prudence, mais le ministère a bien confirmé une intrusion survenue dans la nuit du 25 juillet denier après l’usurpation d’un compte professionnel. En revanche, il n’a pas validé l’étendue de la fuite revendiquée par ZeroBytes. On fait le point sur cette nouvelle fuite qui fait tâche à quelques jours de la rentrée des classes.
Élèves, enseignants et parents dans les fichiers revendiqués
Selon le pirate, l’extraction aurait été réalisée grâce à un accès VPN permettant d’atteindre plusieurs environnements internes. Les données représenteraient exactement 346 178 591 lignes brutes non dédupliquées, réparties dans environ 2 500 fichiers.
Une partie proviendrait de la Base Élèves 1er Degré, utilisée pour la gestion administrative des enfants scolarisés en maternelle et en primaire. Les fichiers pourraient contenir identités, dates de naissance, adresses, établissements fréquentés, parcours scolaires et informations sur la restauration, le transport ou la garderie. Des liens avec les parents et responsables légaux seraient également présents.
D’autres extractions seraient issues de SCONET, consacré aux élèves du secondaire, et de systèmes assurant le suivi individuel des absences, des convocations ou des situations de décrochage.
Près de 17,8 Go concerneraient par ailleurs I-Prof, l’outil de gestion de carrière des personnels. ZeroBytes évoque des données provenant des 33 académies et environ 4,35 millions d’identifiants uniques après déduplication partielle. Ce chiffre inclurait cependant des agents actuels, d’anciens personnels, des retraités et des historiques accumulés depuis le début des années 2000.
Enfin, des annuaires liés aux académies de Créteil et de Versailles rassembleraient plus de 602 000 entrées de comptes. Certaines contiendraient des empreintes cryptographiques de mots de passe. Il ne s’agit pas de mots de passe en clair, mais ces empreintes peuvent parfois être exploitées lorsque les identifiants sont faibles ou réutilisés.
Un périmètre encore contesté par le ministère (mais peut-on encore le croire ?)
Les 346 millions de lignes ne correspondent pas à autant de victimes. Une même personne peut apparaître dans plusieurs bases et dans de nombreux enregistrements successifs. Aucune estimation fiable du nombre total d’individus concernés n’est donc disponible.
Surtout, la revendication dépasse largement le périmètre actuellement reconnu par l’Éducation nationale. Dans son communiqué du 31 juillet, le ministère indique que l’intrusion a visé un système consacré à la formation des personnels. Les données susceptibles d’avoir été volées concerneraient les agents ayant exercé en académie depuis 2001 : identité, statut, fonctions et, pour certains, adresse, téléphone et numéro de sécurité sociale.
Le ministère précise que ce système ne contient ni données relatives aux élèves, ni mots de passe, ni informations bancaires. Si les fichiers décrits par ZeroBytes sont authentiques et proviennent bien de cette attaque, cela signifierait donc que le pirate a atteint d’autres systèmes que celui initialement identifié.
