Ajouter Le Figaro
à vos sources préférées

Après les données fiscales, celles de l’Éducation nationale ? Le cybercriminel connu sous le pseudonyme «ZeroBytes», qui a récemment revendiqué le piratage de la Direction générale des finances publiques (DGFiP), affirme désormais être à l’origine de l’intrusion informatique détectée fin juillet par le ministère de l’Éducation nationale.

D’après FrenchBreaches, un site spécialisé dans les cyberattaques et les fuites de données, ZeroBytes - qui se présente comme un duo français - assure avoir «absorbé 346 millions de lignes» de données quelques semaines plus tôt. «Vous m’aviez détecté, mais vous ne m’avez pas coupé. Je suis donc resté infiltré sous vos yeux», prétend-il encore. À ce stade, le ministère de l’Éducation nationale n’a pas publiquement confirmé que ZeroBytes était bien l’auteur de l’attaque ni l’ampleur des données qu’il affirme avoir récupérées.

Passer la publicité

L’incident, lui, est bien réel. Le ministère avait annoncé le 31 juillet avoir été victime d’une «intrusion frauduleuse» dans l’un de ses systèmes d’information, susceptible d’avoir conduit à l’exfiltration de données personnelles concernant «un nombre important» de ses agents. La compromission serait survenue dans la nuit du 25 juillet et aurait été détectée dès le lendemain. Les accès externes au système concerné avaient été alors coupés, une cellule de crise déclenchée et des investigations lancées sur l’ensemble des systèmes d’information. Une plainte avait également été déposée, tandis que l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et la Cnil avaient été saisies.

Certains fichiers remonteraient au début des années 2000

La revendication de ZeroBytes décrit un périmètre beaucoup plus vaste que celui évoqué par le ministère. D’après FrenchBreaches, qui a analysé les éléments communiqués par le pirate, celui-ci affirme avoir récupéré environ 43 gigaoctets de données, répartis dans quelque 2500 fichiers, représentant 346,2 millions de lignes brutes. Ce chiffre ne correspond toutefois pas à autant de victimes : une même personne peut apparaître à de multiples reprises dans les différentes bases.

Selon les éléments revendiqués par ZeroBytes, les fichiers concerneraient environ 1,22 million d’élèves, 4,35 millions d’identifiants personnels issus notamment de l’espace destiné aux enseignants I-Prof et quelque 602.000 comptes académiques. Identités, dates de naissance, adresses postales et électroniques, numéros de téléphone, informations scolaires ou administratives et, dans certains fichiers, empreintes cryptographiques de mots de passe figureraient parmi les données volées. Des informations relatives à des parents et responsables légaux auraient également été dérobées. Certains fichiers remonteraient au début des années 2000, tandis que d’autres auraient été actualisés jusqu’en juillet 2026, soit plus de vingt ans de données potentiellement réunies.

Ces affirmations doivent cependant encore être vérifiées indépendamment. Fin juillet, le ministère indiquait que l’incident qu’il avait identifié concernait un système dédié à la formation des personnels. Il précisait alors qu’aucune information relative aux élèves n’était stockée dans ce système précis. La revendication de ZeroBytes suppose donc qu’il aurait eu accès à d’autres environnements informatiques, ce que l’Éducation nationale n’a pas confirmé à ce stade.

À lire aussi L’inquiétant piratage des données fiscales des Français met en évidence les fragilités de l’administration

Des attaques en cascade

ZeroBytes affirme par ailleurs avoir récupéré un accès VPN (réseau privé virtuel) lui permettant d’atteindre plusieurs systèmes internes. Selon FrenchBreaches, les données revendiquées proviendraient notamment de l’académie de Créteil (Val-de-Marne), d’applications recouvrant l’ensemble des académies françaises ainsi que d’annuaires académiques de Créteil et Versailles (Yvelines). Des exports d’I-Prof issus des 33 académies françaises figureraient également parmi les fichiers. Le cybercriminel soutient par ailleurs que l’exfiltration aurait duré plusieurs jours. D’après les informations de FrenchBreaches, elle aurait été finalement détectée et bloquée. La version exacte des événements reste encore à établir : le ministère affirmait fin juillet avoir coupé «immédiatement» les accès externes au système qu’il avait identifié.

Passer la publicité

Cette nouvelle revendication intervient quelques jours seulement après celle de la cyberattaque ayant visé la DGFiP. ZeroBytes assure être derrière le vol de données d’environ 678.000 particuliers et professionnel fin juin. Une intrusion dont l’existence a été confirmée par l’administration fiscale jeudi dernier, sans que l’identité de l’auteur n’ait été publiquement établie. Le pseudonyme ZeroBytes est également apparu ces dernières semaines dans plusieurs autres affaires, visant notamment Intermarché ou la Fédération française de handball. Les données collectées durant ces attaques pourraient être exploitées pour mener des campagnes de phishing ciblées ou des opérations d’usurpation d’identité, d’autant plus sensibles qu’elles concerneraient également des mineurs et permettraient de relier des élèves à leurs responsables légaux.