La macronie a voulu numériser toujours davantage l’administration ; elle découvre maintenant qu’une passoire connectée reste une passoire.

À l’Éducation nationale, les pirates informatiques ont visiblement trouvé une matière où l’administration ne pratique pas le contrôle continu. Cette nouvelle cyberattaque contre l’Éducation nationale s’est produite dans la nuit du 25 juillet 2026 : un compte professionnel usurpé a permis d’accéder au système d’information consacré à la formation des personnels. Le centre de sécurité du ministère a été alerté le lendemain, l’accès extérieur a été suspendu et une cellule de crise a été activée.

Des agents ayant travaillé dans les académies depuis 2001

Le périmètre exact reste à établir. Le ministère estime toutefois que les données susceptibles d’avoir été copiées concernent « les agents du ministère ayant exercé en académie depuis 2001 ». Les informations visées comprennent l’identité, le statut et la fonction. Pour certains personnels, l’adresse postale, le numéro de téléphone et le numéro de Sécurité sociale ont également pu être récupérés.

Le système attaqué ne contenait, selon le ministère, « ni données bancaires, ni mots de passe, ni données relatives aux élèves ». Une plainte a été déposée, l’ANSSI et la CNIL ont été saisies, et les personnes potentiellement concernées doivent être informées « dans les meilleurs délais ». En attendant, la consigne officielle consiste à demander aux agents d’être très vigilants. Après avoir perdu les clés, l’administration recommande donc aux habitants de surveiller la porte.

Trois incidents, et toujours des comptes détournés

Ce nouvel épisode est le troisième rendu public depuis le début de l’année. En mars, les données d’environ 243 000 agents, stagiaires ou titulaires, avaient été exfiltrées depuis l’outil COMPAS après l’usurpation d’un compte externe. En avril, une fuite touchant des données d’élèves liées à ÉduConnect avait été annoncée. Là encore, le compte d’un personnel habilité avait été détourné, tandis qu’une faille du service avait aussi été exploitée.

Le point commun est difficile à manquer : les attaquants ne défoncent pas nécessairement les murs, ils entrent avec les identifiants d’une personne autorisée. Après l’incident d’ÉduConnect, le ministère avait annoncé le renforcement des accès par double authentification sur le service concerné. Trois mois plus tard, un autre compte usurpé ouvre une autre base. La serrure progresse, mais les visiteurs semblent conserver une longueur d’avance.

Pourquoi une telle régularité ?

L’institution gère une multitude de services nationaux et académiques, avec des données nombreuses, anciennes et accessibles à des profils très différents. Cet empilement agrandit mécaniquement la surface à protéger. La répétition des détournements de comptes indique surtout que la gestion des accès, la double authentification, la limitation des droits et la détection des connexions inhabituelles restent des points décisifs.

La CNIL constatait déjà en 2025 que les violations de données étaient probablement sous-déclarées dans l’éducation et que l’organisation des responsabilités y était complexe. Le ministère affirme avoir engagé depuis plusieurs mois des démarches pour renforcer ses systèmes. En langage administratif, la serrure est donc en commande. Les effractions, elles, n’ont pas attendu la livraison.

Agents concernés : les réflexes à adopter

L’absence de mots de passe ou de données bancaires dans la base limite certains risques, mais elle ne rend pas la fuite anodine. Une identité complète, une fonction, un téléphone, une adresse et un numéro de Sécurité sociale peuvent suffire à fabriquer un message très crédible.