Cyberattaque Éducation nationale : 43 Go et une rentrée au stylo

La rentrée a bien eu lieu le 1er septembre. C'est à peu près la seule chose qui se soit passée comme prévu. La cyberattaque Éducation nationale de fin juillet a laissé derrière elle 43 gigaoctets de données dans la nature, deux académies fonctionnant au téléphone et au papier, des enseignants sans affectation à quelques jours des cours, et une rumeur virale qui a occupé le vide laissé par le silence institutionnel.

Retour sur un enchaînement qui dit beaucoup de l'état des systèmes d'information publics français.

Une nuit de juillet, un compte usurpé

L'intrusion remonte à la nuit du 25 juillet 2026. Le ministère la rend publique le 31. Le mode opératoire n'a rien de spectaculaire : usurpation d'un compte professionnel, puis navigation dans le système d'information dédié à la formation des personnels.

Pas de faille zero-day, pas d'exploit exotique. Un identifiant volé, probablement par hameçonnage, et une porte qui s'ouvre. C'est la banalité de l'entrée qui inquiète le plus : elle signifie qu'aucune authentification forte ne barrait la route sur un système contenant des données personnelles massives.

La brèche est passée inaperçue plusieurs semaines. Ce n'est qu'à la mi-août qu'elle est réellement caractérisée — après que le groupe ZeroBytes a revendiqué l'attaque publiquement, le 17 août, en affichant son butin : environ 43 Go et 2 500 fichiers.

Vingt ans d'archives, 346 millions de lignes

Les ordres de grandeur circulant depuis mi-août :

• 43 Go de données exfiltrées, couvrant les archives scolaires de 2002 à juillet 2026.
• 1,2 million d'élèves concernés (1,22 million selon plusieurs recoupements).
• 4,3 millions d'identifiants de personnels.
• 602 000 comptes académiques.
• Environ 346 millions de lignes brutes, non dédupliquées — un chiffre qui a beaucoup circulé sous forme trompeuse, car il compte des enregistrements répétés, pas des personnes.

Les plateformes touchées portent des noms familiers à quiconque a travaillé dans l'Éducation nationale : Iprof, BE1D, SCONET. Des applications historiques, empilées au fil des réformes, avec la dette technique que ça suppose.

Côté nature des données : dates de naissance, adresses mail, numéros de téléphone, affectations, grades, et surtout des identifiants de connexion. Pas de coordonnées bancaires signalées, ce qui limite la casse immédiate. Mais un couple nom / date de naissance / adresse mail / établissement, quand il concerne des mineurs, c'est le kit de départ idéal pour de l'hameçonnage très crédible auprès des familles.

Nantes et Toulouse, la rentrée au stylo

Le ministère a assuré que la rentrée se ferait, et elle s'est faite. En mode dégradé dans deux académies.

Sur les trente académies, vingt-huit sont revenues à la normale. Restent Nantes et Toulouse, où les messageries professionnelles, les applications métiers, les procédures d'affectation et l'accès aux espaces numériques de travail sont restés perturbés jusqu'aux premiers jours de septembre. Le retour en arrière a été assumé : papier, téléphone, procédures manuelles. Emplois du temps distribués imprimés aux élèves à défaut d'ENT fonctionnel.

Les conséquences concrètes, remontées par la presse spécialisée et les syndicats :

• des élèves sans affectation confirmée à quelques jours de la rentrée ;
• des enseignants ignorant leur poste, faute d'accès aux applications de gestion ;
• des risques de retard de paiement pour certains contractuels, assistants d'éducation et surveillants — le ministère a maintenu que la paie des personnels serait versée dans les délais habituels ;
• plus de 850 000 enseignants ayant repris le chemin des classes dans ce contexte.

Un établissement qui bascule sur le papier, ça fonctionne. Une semaine. Au-delà, ce sont les inscriptions, les remplacements, la cantine et les bourses qui se grippent en cascade.

La rumeur TikTok qui a comblé le vide

Pendant que les rectorats ressortaient les classeurs, TikTok s'occupait du récit. Des vidéos vues plusieurs centaines de milliers de fois ont affirmé que la rentrée de septembre serait décalée à cause de la cyberattaque.

Le mécanisme mérite d'être décortiqué, parce qu'il est devenu un standard. Point de départ : une publication parfaitement légitime du créateur HugoDécrypte, intitulée « La rentrée 2026 perturbée à cause de la cyberattaque ». Information exacte. Des comptes parasites ont repris le visuel, remplacé « perturbée » par « décalée », et lâché la vidéo dans l'algorithme. Un mot changé, un tout autre message, et un trafic considérable à la clé.

Le ministère, contacté par franceinfo, a été catégorique : la rentrée ne serait pas décalée, la date du 1er septembre était maintenue. Le démenti a circulé infiniment moins que la rumeur — comme toujours.

Ce qui a rendu la manipulation efficace, ce n'est pas la crédulité du public. C'est que l'information officielle est arrivée tard, par bribes, et sur des canaux que ni les élèves ni la plupart des parents ne consultent. Le vide informationnel a un coût, et il se paie en désinformation.

Négligence ou fatalité ?

Les syndicats n'ont pas fait dans la nuance. La FSU a parlé de négligence coupable, en rappelant qu'il s'agit du troisième piratage connu visant le ministère. L'argument central porte moins sur l'attaque elle-même que sur l'accumulation : une même institution qui se fait siphonner trois fois pose une question d'organisation, pas de malchance.

Deux éléments donnent du poids à la critique.

La CNIL constate que les notifications de fuites de données dans le secteur public ont doublé en deux ans, en pointant notamment l'insuffisance des moyens consacrés à la sécurité des systèmes d'information. Un ministère de plus d'un million d'agents fait tourner des applications conçues au début des années 2000, sans authentification multifacteur généralisée.

Les directeurs d'école, eux, signalaient déjà des difficultés d'accès continues à leurs outils pendant tout le mois d'août. Le signal faible existait. Il n'a pas déclenché grand-chose.

À décharge : un système d'information de cette taille, ouvert à des centaines de milliers d'utilisateurs aux niveaux d'hygiène numérique très inégaux, avec une contrainte budgétaire permanente, est une cible d'une difficulté redoutable à défendre. Aucune organisation comparable, publique ou privée, n'affiche un bilan irréprochable.

Ce que vous pouvez faire, concrètement

Si vous êtes personnel de l'Éducation nationale, parent d'élève ou ancien élève depuis 2002, les recommandations du ministère tiennent en trois gestes, et ils ne sont pas décoratifs.

• Changer les mots de passe liés aux comptes académiques et à l'ENT — et surtout ceux réutilisés ailleurs. Un identifiant volé ne sert pas seulement sur le site d'origine.
• Activer l'authentification à deux facteurs partout où elle est disponible, en priorité sur la boîte mail principale.
• Traiter tout message inattendu avec méfiance dans les mois qui viennent. Un mail mentionnant le prénom exact de votre enfant, son établissement et sa classe n'est plus une preuve d'authenticité : ces informations sont désormais publiques pour qui achète le lot.

Méfiez-vous particulièrement des messages annonçant une régularisation de bourse, un problème d'inscription ou une mise à jour d'ENT. C'est exactement le scénario que permet ce type de fuite, et il arrivera avec un décalage de plusieurs mois, quand l'affaire sera sortie des radars.