Piratage Éducation nationale juillet 2026 : confirmé par le ministère, contesté sur le périmètre

Le 31 juillet 2026, le ministère de l’Éducation nationale annonce une intrusion frauduleuse dans la nuit du 25 juillet, après l’usurpation d’un compte professionnel. C’est un piratage de l’Éducation nationale confirmé. Ce qui l’est beaucoup moins, c’est le volume et la nature des données — surtout dès que l’on sort du communiqué officiel.

Ce que le ministère a confirmé

D’après le communiqué du 31 juillet (repris par Le Parisien, TF1 Info, franceinfo) :

• cible : le système d’information dédié à la formation des personnels ;
• vecteur : usurpation d’un compte professionnel ;
• données susceptibles d’avoir été extraites : identité, statut et fonctions d’agents ayant exercé en académie depuis 2001 ; pour une partie d’entre eux, adresse, téléphone et numéro de sécurité sociale ;
• le ministère indiquait alors que ce SI ne contenait ni données bancaires, ni mots de passe, ni données élèves ;
• plainte, saisine de l’ANSSI et de la CNIL ; les agents potentiellement concernés ont ensuite été informés individuellement (point de situation du 18 août).

Le ministère n’a pas publié de volumétrie ferme au moment de l’annonce. « Nombre important d’agents » n’est pas un chiffre.

Ce que ZeroBytes revendique — non confirmé à ce jour

Mi-août, le même pseudonyme associé au piratage des impôts a revendiqué des volumes très supérieurs (dizaines de Go, millions de lignes, données élèves, annuaires académiques). Le ministère n’a ni confirmé ni infirmé ces publications : il a indiqué poursuivre les expertises pour établir « la nature exacte et l’étendue des données exfiltrées ». Tant que cette expertise n’est pas publique, ces chiffres restent une revendication.

Le ministère a aussi rappelé d’autres incidents plus tôt en 2026 (dont un vol de données d’agents en mars). Ils sont hors fenêtre de cet article ; ils montrent seulement que le même type de vecteur — compte usurpé — revient.

Leçon pour une PME

Un « petit » SI métier (formation, RH, notes de frais) concentre souvent plus de données personnelles qu’on ne le croit, y compris des NIR. Si un compte prestataire ou un compte admin unique ouvre tout le SI, vous reproduisez le scénario ministériel. Pour une éditeur de logiciel, une crèche, un organisme de formation ou une ESN qui héberge des listes d’apprenants, la question n’est pas « sommes-nous l’Éducation nationale ? ». C’est : qui peut extraire l’annuaire, et le sauriez-vous à temps ?

Un audit cybersécurité PME commence par ces comptes. Un pentest web sert ensuite si le portail de formation ou l’ENT interne est exposé.

Sources

Communiqué ministère Éducation nationale (31 juillet 2026), point du 18 août, synthèses Le Parisien / TF1 Info / Numerama. Nous distinguons explicitement le communiqué des revendications d’attaquant. Aucune donnée personnelle d’agent n’est reproduite ici.