Après les données fiscales, celles de l’Éducation nationale ? Le cybercriminel connu sous le pseudonyme «ZeroBytes», qui a récemment revendiqué le piratage de la Direction générale des finances publiques (DGFiP), affirme désormais être à l’origine de l’intrusion informatique détectée fin juillet par le ministère de l’Éducation nationale.
D’après FrenchBreaches, un site spécialisé dans les cyberattaques et les fuites de données, ZeroBytes - qui se présente comme un duo français - assure avoir «absorbé 346 millions de lignes» de données quelques semaines plus tôt. «Vous m’aviez détecté, mais vous ne m’avez pas coupé. Je suis donc resté infiltré sous vos yeux», prétend-il encore. À ce stade, le ministère de l’Éducation nationale n’a pas publiquement confirmé que ZeroBytes était bien l’auteur de l’attaque ni l’ampleur des données qu’il affirme avoir récupérées.
L’incident, lui, est bien réel. Le ministère avait annoncé le 31 juillet avoir été victime d’une «intrusion frauduleuse» dans l’un de ses systèmes d’information, susceptible d’avoir conduit à l’exfiltration de données personnelles concernant «un nombre important» de ses agents. La compromission serait survenue dans la nuit du 25 juillet et aurait été détectée dès le lendemain. Les accès externes au système concerné avaient été alors coupés, une cellule de crise déclenchée et des investigations lancées sur l’ensemble des systèmes d’information. Une plainte avait également été déposée, tandis que l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et la Cnil avaient été saisies.
Certains fichiers remonteraient au début des années 2000
La revendication de ZeroBytes décrit un périmètre beaucoup plus vaste que celui évoqué par le ministère. D’après FrenchBreaches, qui a analysé les éléments communiqués par le pirate, celui-ci affirme avoir récupéré environ 43 gigaoctets de données, répartis dans quelque 2500 fichiers, représentant 346,2 millions de lignes brutes. Ce chiffre ne correspond toutefois pas à autant de victimes : une même personne peut apparaître à de multiples reprises dans les différentes bases.
Selon les éléments revendiqués par ZeroBytes, les fichiers concerneraient environ 1,22 million d’élèves, 4,35 millions d’identifiants personnels issus notamment de l’espace destiné aux enseignants I-Prof et quelque 602.000 comptes académiques. Identités, dates de naissance, adresses postales et électroniques, numéros de téléphone, informations scolaires ou administratives et, dans certains fichiers, empreintes cryptographiques de mots de passe figureraient parmi les données volées. Des informations relatives à des parents et responsables légaux auraient également été dérobées. Certains fichiers remonteraient au début des années 2000, tandis que d’autres auraient été actualisés jusqu’en juillet 2026, soit plus de vingt ans de données potentiellement réunies.
Ces affirmations doivent cependant encore être vérifiées indépendamment. Fin juillet, le ministère indiquait que l’incident qu’il avait identifié concernait un système dédié à la formation des personnels. Il précisait alors qu’aucune information relative aux élèves n’était stockée dans ce système précis. La revendication de ZeroBytes suppose donc qu’il aurait eu accès à d’autres environnements informatiques, ce que l’Éducation nationale n’a pas confirmé à ce stade.
Des attaques en cascade
ZeroBytes affirme par ailleurs avoir récupéré un accès VPN (réseau privé virtuel) lui permettant d’atteindre plusieurs systèmes internes. Selon FrenchBreaches, les données revendiquées proviendraient notamment de l’académie de Créteil (Val-de-Marne), d’applications recouvrant l’ensemble des académies françaises ainsi que d’annuaires académiques de Créteil et Versailles (Yvelines). Des exports d’I-Prof issus des 33 académies françaises figureraient également parmi les fichiers. Le cybercriminel soutient par ailleurs que l’exfiltration aurait duré plusieurs jours. D’après les informations de FrenchBreaches, elle aurait été finalement détectée et bloquée. La version exacte des événements reste encore à établir : le ministère affirmait fin juillet avoir coupé «immédiatement» les accès externes au système qu’il avait identifié.
