L’Éducation nationale s’est fait pirater ses élèves

Mardi 1er septembre, l’école de ma fille m’a tendu la même liasse que l’an dernier. Identité des parents, téléphones fixes et portables, professionnels et personnels, adresse mail, autorisation de la photographier, autorisation de sortie, un extrait du livret de famille pour faire bonne mesure. J’ai tout rempli au stylo sur le coin d’une table, comme des millions de parents cette semaine-là, en pensant à ce que je venais de lire pendant l’été. Depuis le 25 juillet, quelqu’un se promène avec l’équivalent de ces formulaires pour un peu plus d’un million d’élèves, et personne ne m’a écrit pour me dire si ma fille en fait partie.

Un compte usurpé et 346 millions de lignes

Le ministère a raconté l’affaire par étapes, ce qui n’aide pas à la lire. Dans la nuit du 25 juillet, quelqu’un s’est connecté avec le compte d’un agent au système qui gère la formation des personnels, un service périphérique qui ne devrait intéresser que les enseignants en stage. Le centre de sécurité du ministère a donné l’alerte le 26, les accès extérieurs ont été coupés dans les heures suivantes et une cellule de crise s’est installée. Le communiqué du 31 juillet précisait que ce système ne contenait « ni données bancaires, ni mots de passe, ni données relatives aux élèves », seulement l’identité et la situation professionnelle des agents, avec pour certains l’adresse, le téléphone et le numéro de sécurité sociale^[1].

Le 17 août, un pirate qui signe ZeroBytes a mis en ligne ce qu’il disait avoir emporté, et la liste dépassait de loin le périmètre annoncé. Il revendique 43 Go répartis en quelque 2 500 fichiers, soit 346 millions de lignes brutes couvrant deux décennies, et une fois les doublons retirés, 1,22 million d’élèves distincts, 4,35 millions d’identifiants de personnels et 602 000 comptes académiques. Parmi les fichiers figurent des exports de SCONET, l’outil qui gère les élèves du second degré, pour les années 2024-2025 et 2025-2026, et des extractions de la base des élèves du premier degré pour l’académie de Créteil et, au fil des fichiers, des notes, des évaluations et des données sur les responsables légaux^[2]. Les données viendraient surtout des académies de Créteil et de Versailles, ainsi que d’I-Prof, l’outil de gestion de carrière des enseignants^[3]. La mienne est celle de Versailles, et ma fille est en maternelle.

Le lendemain, le ministère publiait un second texte. Les personnels susceptibles d’être concernés avaient tous été informés individuellement, les expertises se poursuivaient pour établir « la nature exacte et l’étendue des données exfiltrées », et s’il devait s’agir d’élèves, leurs représentants légaux seraient prévenus « dans les mêmes conditions que les personnels »^[4]. Trois semaines plus tard, j’attends toujours de savoir si ce conditionnel me concerne. Le même ZeroBytes venait de revendiquer, le 12 août, le vol de 678 000 dossiers fiscaux à la Direction générale des Finances publiques, confirmé le lendemain par l’administration, là aussi grâce aux identifiants usurpés d’un agent^[5]. Un seul été, deux ministères, la même clé.

La rentrée s’est faite en papier

Par précaution, le ministère a remis à zéro l’ensemble des accès à ses services, et fin août il annonçait que 28 académies sur 30 fonctionnaient à nouveau normalement. À Toulouse et à Nantes, les messageries et les applications professionnelles restaient coupées jusqu’à nouvel ordre, les familles n’avaient plus accès à l’environnement numérique de travail et les emplois du temps seraient remis aux élèves « en format papier »^[6]. Les clés OTP-ODA, le dispositif d’authentification forte qui fournit à une partie des agents un code à usage unique, avaient elles aussi été désactivées sur consigne de l’ANSSI, l’agence de l’État chargée de la cybersécurité^[7]. Des proviseurs ont raconté une préparation de rentrée à l’aveugle, sans savoir quels professeurs leur étaient affectés, sans pouvoir envoyer la liste des fournitures ni payer les factures de l’été^[3:1].

Chez nous, dans une académie réputée épargnée côté services, rien de tout cela ne s’est vu. La rentrée a eu lieu à l’heure, l’application qui relie l’école, le périscolaire et les parents n’a jamais cessé de fonctionner, et l’administration a redemandé en septembre ce qu’elle détient depuis l’année dernière, sans poser la question qui m’aurait rassuré, « ces informations sont-elles encore exactes ? ». On a l’habitude. Sauf que cette année, entre les deux collectes, une copie de la première est peut-être partie sur un forum, et qu’aucune ligne des formulaires ne le mentionne.

Le printemps avait déjà servi de répétition

Ce n’est pas le premier incident de l’année, ni même le premier qui touche les élèves. Le 14 avril, le ministère reconnaissait une « cyberattaque ciblée » sur le service qui gère les comptes ÉduConnect, l’identifiant unique des élèves et de leurs parents. Là encore, tout partait de l’usurpation du compte d’un personnel habilité, à la fin de 2025, qui avait exploité une faille « identifiée en décembre 2025 et corrigée par les services du ministère » juste avant sa résolution. Nom, prénom, identifiant, établissement, classe, adresse mail et codes d’activation des comptes pas encore ouverts avaient fuité, pour un nombre d’élèves « en cours d’évaluation ». Le communiqué annonçait un « travail de renforcement de la sécurité d’accès par un mécanisme de double authentification »^[8].

Trois mois plus tard, un autre compte usurpé ouvrait un autre service, avec les mêmes verbes dans le communiqué. La FSU, première fédération syndicale de l’enseignement, parle de « négligence coupable » et compte le troisième piratage connu, tandis que le Sgen-CFDT, syndicat des personnels de l’éducation, rappelle que le ministère gère quelque 400 applications, autant de portes à surveiller, et réclame des informaticiens recrutés en interne plutôt que des prestataires^[9]. Je ne connais pas les effectifs de la direction du numérique du ministère, mais je sais compter les portes.

Une clé, toutes les portes

Mon métier consiste à faire aboutir des projets informatiques, pas à les sécuriser, si bien que je parle ici en usager qui a lu les communiqués. Trois choses m’y frappent.

Le chemin, d’abord. Dans les deux affaires de l’été, au ministère des Finances comme à celui de l’Éducation nationale, l’intrus n’a forcé aucune porte, il a emprunté la clé d’un agent et il est entré par un service secondaire, la formation des personnels ici, un outil de recherche interne là, avant d’atteindre des millions de dossiers qui n’avaient rien à voir avec ce service. Un compte ne devrait ouvrir que ce dont son titulaire a besoin, et un formateur n’a pas besoin des notes des élèves de Créteil.

Le volume, ensuite. Extraire 346 millions de lignes demande d’enchaîner des requêtes automatisées pendant des heures, ce qu’aucun agent ne fait à la main. Une banque bloque une carte dès que trois paiements se suivent de trop près dans deux pays différents. Qu’un compte d’agent puisse aspirer deux décennies de données sans qu’une alarme se déclenche laisse penser qu’aucune alarme ne surveillait le débit, en plus de la serrure qui a cédé.

L’année, enfin. En 2026, on peut encore entrer dans le système d’information de l’Éducation nationale avec un identifiant et un mot de passe, c’est-à-dire avec ce qu’un hameçonnage réussi récupère en dix secondes. L’authentification forte^[10] existe depuis longtemps, code temporaire sur le téléphone ou, mieux, clé d’accès^[11] impossible à recopier sur un faux site. Le ministère l’a promise en avril pour ÉduConnect et distribue des clés OTP à une partie de ses agents, ce qui n’a pas empêché un compte usurpé d’ouvrir la porte en juillet, et l’application par laquelle l’école m’écrit n’en propose aucune. Le compte usurpé de juillet dit assez que le chantier reste ouvert.

Ce que j’ai fait en attendant le courrier

Faute de nouvelles, j’ai fait ce qu’un parent peut faire, c’est-à-dire peu. J’ai changé le mot de passe de l’application de l’école, au cas où, en constatant au passage qu’elle ne propose aucun second facteur. Puis j’ai passé une soirée à sensibiliser ma compagne, parce qu’un inconnu qui connaît notre numéro de téléphone ne devient dangereux que le jour où il s’en sert. Un pirate qui possède le nom de l’école, la classe, le prénom de l’enfant et le portable des parents écrit un SMS bien plus convaincant qu’une fausse amende. Les 678 000 dossiers de Bercy lui fournissent l’autre moitié du scénario.

Les consignes tiennent en trois lignes, que je répète ici pour qui voudrait les afficher sur le frigo. On ne scanne jamais un QR code reçu par courrier ou par message, on tape soi-même l’adresse du site des impôts ou de l’école. Si l’on n’a pas le choix, on lit l’adresse en entier avant de saisir quoi que ce soit, et au moindre doute, on attend que quelqu’un de la famille qui fait ça pour vivre y jette un œil. Le ministère dit la même chose en une phrase, il ne demande jamais d’identifiants, de mot de passe ni de coordonnées bancaires par mail, par téléphone ou par message^[4:1], et cette phrase est à peu près la seule qu’il ait adressée aux familles depuis le 25 juillet.

Ce que j’aurais voulu recevoir tient en encore moins de mots. Un message, même pour dire « nous ne savons pas encore », plutôt qu’un conditionnel dans un communiqué que les parents ne lisent pas. Et, sur la liasse de septembre, une case « ces informations sont-elles toujours exactes ? » à la place de la collecte annuelle de ce que l’administration possède déjà. Le lycée a interdit le téléphone le jour de la rentrée et l’État voulait vérifier l’âge de tous les internautes pour protéger les enfants des réseaux sociaux. J’aimerais qu’il protège aussi bien ce qu’il leur a déjà demandé.