Une fuite massive de données personnelles revendiquée par un groupe auto‑proclamé
Un groupe de pirates se faisant appeler ZeroBytes affirme détenir et mettre en ligne des fichiers contenant des informations personnelles d'« élèves, de parents et d'enseignants », dont certaines remontent aux années 2000. Dans un message publié lundi 17 août sur un forum, les responsables présumés indiquent avoir « absorbé 346 millions de lignes » de données, des fichiers exfiltrés fin juillet 2026.
Ce que l'État confirme et les mesures engagées
Le ministère de l'Éducation nationale avait, dès le 31 juillet, signalé une « intrusion frauduleuse » survenue le 25 juillet et l'exfiltration de données à caractère personnel. Dans son communiqué rendu public le 18 août, le ministère précise que les personnels susceptibles d'être concernés ont été informés individuellement depuis la fin juillet. Parallèlement, l'État a déposé une plainte contre X auprès du parquet de Paris et saisi les autorités compétentes : l'Agence nationale de la sécurité des systèmes d'information (ANSSI) et la CNIL.
« Des publications intervenues hier [lundi] font état de la mise en ligne de ces données et revendiquent la détention de données relatives à des élèves. Le ministère poursuit ses expertises techniques afin d’établir la nature exacte et l’étendue des données exfiltrées. »
Quels types de données sont évoquées ?
Les documents mis en avant par les pirates contiendraient, selon eux :
- adresses postales ;
- adresses e‑mail ;
- numéros de téléphone ;
- notations et appréciations des professeurs.
Les impacts potentiels varient selon la sensibilité des éléments publiés : risques d'usurpation d'identité, de démarchage ciblé, et atteinte à la vie privée des mineurs et des personnels. Le ministère précise toutefois poursuivre « des expertises techniques » pour établir précisément la nature et l'étendue des informations réellement exfiltrées.
État de l'enquête et conséquences administratives
Une enquête judiciaire a été ouverte. L'intervention de l'ANSSI vise à caractériser la faille exploitée et à recommander des mesures correctrices pour les systèmes affectés. La CNIL, saisie, évaluera les obligations de notification aux personnes concernées et pourra prononcer des sanctions administratives si des manquements aux règles de protection des données sont constatés.
Pourquoi cette affaire est particulièrement sensible pour l'administration fiscale et l'Éducation
La diffusion de données liées aux usagers des services publics interroge la robustesse des dispositifs de sécurité des administrations en charge d'informations très sensibles. Pour le contribuable et les familles, la coexistence d'informations scolaires et, potentiellement, d'éléments présents dans d'autres bases administratives accroît les risques de fraude. Les autorités doivent désormais :
- confirmer l'étendue exacte des fichiers exfiltrés ;
- communiquer clairement aux personnes concernées les risques et les mesures de protection recommandées ;
- mettre en œuvre des corrections techniques et organisationnelles pour prévenir de nouvelles intrusions.
| Élément | Information connue |
|---|---|
| Date de l'intrusion | 25 juillet 2026 |
| Date de signalement public | 31 juillet 2026 |
| Date de la revendication publique | 17-18 août 2026 |
| Volume revendiqué | 346 millions de lignes (selon les pirates) |
La situation reste évolutive. Le ministère assure avoir informé les personnels susceptibles d'être concernés et poursuit ses investigations techniques et judiciaires. Les recommandations de l'ANSSI et les suites données par la CNIL seront déterminantes pour la suite des opérations et pour l'évaluation éventuelle des responsabilités.
Implication pour le contribuable : toute personne affectée devra suivre les communications officielles et, le cas échéant, signaler à la CNIL et aux forces de l'ordre les usages frauduleux de ses données personnelles.
