ZeroBytes revendique le piratage massif de données de l'Education nationale
ZeroBytes, qui se présente comme un duo de cybercriminels français, affirme avoir exfiltré des milliers de fichiers couvrant une période de plus de vingt ans, contenant notamment des informations personnelles sur des mineurs et des personnels de l'Education nationale. Cette revendication, relayée par le site spécialisé FrenchBreaches, intervient quelques jours après que le même groupe a revendiqué le piratage de la Direction générale des finances publiques (DGFiP).
Selon FrenchBreaches, le groupe affirme avoir récupéré environ 43 gigaoctets de données, répartis dans quelque 2 500 fichiers, représentant 346,2 millions de lignes brutes. Ce chiffre ne correspond toutefois pas à autant de victimes, une même personne pouvant apparaître à de multiples reprises dans les différentes bases.
Les fichiers concerneraient environ 1,22 million d'élèves, 4,35 millions d'identifiants de personnels issus notamment de l'espace destiné aux enseignants I-Prof et quelque 602 000 comptes académiques. Identités, dates de naissance, adresses postales et électroniques, numéros de téléphone, informations scolaires ou administratives et, dans certains fichiers, empreintes cryptographiques de mots de passe figureraient parmi les données volées. Des informations relatives à des parents et responsables légaux auraient également été dérobées. Certains fichiers remonteraient au début des années 2000, tandis que d'autres auraient été actualisés jusqu'en juillet 2026, soit plus de vingt ans de données potentiellement réunies.
Une attaque d’ampleur encore non confirmée
A ce stade, le ministère de l’Education nationale n’a pas publiquement confirmé que ZeroBytes était bien l’auteur de l’attaque ni l’ampleur des données qu’il affirme avoir récupérées. Le ministère avait annoncé le 31 juillet avoir été victime d’une "intrusion frauduleuse" dans l’un de ses systèmes d’information, susceptible d’avoir conduit à l’exfiltration de données personnelles concernant "un nombre important" de ses agents. La compromission serait survenue dans la nuit du 25 juillet et aurait été détectée dès le lendemain.
A la suite de cette détection, les accès externes au système concerné avaient été alors coupés, une cellule de crise déclenchée et des investigations lancées sur l’ensemble des systèmes d’information. Une plainte avait également été déposée, tandis que l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et la Cnil avaient été saisies.
Fin juillet, le ministère indiquait que l’incident qu’il avait identifié concernait un système dédié à la formation des personnels. Il précisait alors qu’aucune information relative aux élèves n’était stockée dans ce système précis. La revendication de ZeroBytes suppose donc qu’il aurait eu accès à d’autres environnements informatiques, ce que l’Education nationale n’a pas confirmé à ce stade.
Origine et portée des données revendiquées
D’après FrenchBreaches, les données revendiquées proviendraient notamment de l’académie de Créteil (Val-de-Marne), d’applications recouvrant l’ensemble des académies françaises ainsi que d’annuaires académiques de Créteil et Versailles (Yvelines). Des exports d’I-Prof issus des 33 académies françaises figureraient également parmi les fichiers. ZeroBytes affirme par ailleurs avoir récupéré un accès VPN lui permettant d’atteindre plusieurs systèmes internes et soutient que l’exfiltration aurait duré plusieurs jours.
Le cybercriminel, déjà à l’origine de l’attaque contre la DGFiP fin juin, où il assure avoir volé les données d’environ 678 000 particuliers et professionnels, a vu son pseudonyme apparaître dans plusieurs autres affaires récentes, visant notamment Intermarché ou la Fédération française de handball.
Risques et conséquences
Les données collectées durant ces attaques pourraient être exploitées pour mener des campagnes de phishing ciblées ou des opérations d’usurpation d’identité, d’autant plus sensibles qu’elles concerneraient également des mineurs et permettraient de relier des élèves à leurs responsables légaux.
La version exacte des événements reste encore à établir. Le ministère affirmait fin juillet avoir coupé "immédiatement" les accès externes au système qu’il avait identifié. Les investigations se poursuivent pour déterminer l’ampleur réelle de la fuite et la nature exacte des données compromises.