La cyberattaque de l’Éducation nationale pourrait être beaucoup plus grave qu’annoncé jusqu’ici. Le 17 août 2026, le cybercriminel ZeroBytes, déjà associé au piratage récent de la DGFiP, a revendiqué l’exfiltration d’environ 43 Go de données provenant de plusieurs systèmes du ministère. Élèves, parents, enseignants, personnels administratifs et anciens agents pourraient être concernés. Au total, près de 2 500 fichiers et 346 millions de lignes brutes sont revendiqués. Mais attention : à cette heure, le ministère n’a pas confirmé cette nouvelle ampleur et plusieurs éléments essentiels restent à vérifier.
Dernière mise à jour : 17 août 2026 à 23 h 50.
Ce qu’il faut retenir
- ZeroBytes revendique le vol d’environ 43 Go de données appartenant à l’Éducation nationale.
- FrenchBreaches, qui documente la fuite, la classe comme « revendiquée (crédible) ».
- Le pirate affirme avoir récupéré près de 2 500 fichiers représentant exactement 346 178 591 lignes brutes.
- 346 millions de lignes ne signifient absolument pas 346 millions de victimes : une même personne peut apparaître de nombreuses fois.
- Les données revendiquées concerneraient des élèves, parents, enseignants, personnels administratifs, anciens agents et retraités.
- Des exports I-Prof des 33 académies françaises figureraient parmi les fichiers.
- Des données provenant de BE1D, SCONET, SCHAAF et d’outils de suivi scolaire sont également revendiquées.
- Deux annuaires académiques de Créteil et Versailles représenteraient un peu plus de 602 000 entrées de comptes.
- ZeroBytes affirme que certaines de ces données contiennent des empreintes cryptographiques de mots de passe.
- Le ministère avait confirmé le 31 juillet une intrusion survenue le 25 juillet, mais avait alors indiqué que le système concerné ne contenait ni mots de passe ni données relatives aux élèves.
- Le nouveau périmètre revendiqué par ZeroBytes est donc beaucoup plus large que celui officiellement confirmé.
- À 23 h 50 le 17 août, aucun nouveau communiqué du ministère ne confirme encore les 43 Go, les données élèves ou les annuaires revendiqués.
Une nouvelle révélation dans la soirée du 17 août
L’affaire a pris une toute nouvelle dimension dans la soirée du lundi 17 août.
Le site français spécialisé FrenchBreaches a publié une alerte concernant une nouvelle revendication de ZeroBytes. Le cybercriminel affirme avoir compromis plusieurs systèmes liés à l’Éducation nationale et en avoir extrait un ensemble de données considérablement plus vaste que ce qui était connu jusqu’ici.
FrenchBreaches classe actuellement la fuite comme « revendiquée (crédible) », et non comme définitivement confirmée. Le site explique avoir étudié les informations communiquées par le pirate tout en soulignant qu’une partie importante du périmètre reste à authentifier indépendamment.
Selon les éléments publiés, l’ensemble représenterait précisément 346 178 591 lignes brutes et non dédupliquées, environ 43 Go de données et près de 2 500 fichiers.
Les fichiers les plus anciens remonteraient au début des années 2000 tandis que certains des plus récents dateraient de juillet 2026.
346 millions de lignes ne veulent pas dire 346 millions de Français
C’est probablement le chiffre qui circulera le plus, mais il faut immédiatement le remettre en contexte.
346 millions de lignes ne correspondent pas à 346 millions de personnes différentes.
Les bases revendiquées contiennent des historiques scolaires et professionnels. Un même enseignant peut apparaître plusieurs fois pour chacune de ses affectations, formations ou évolutions de carrière. Un élève peut également être enregistré dans plusieurs systèmes et plusieurs années scolaires.
FrenchBreaches évoque ainsi environ 4,35 millions d’identifiants de personnels dédupliqués dans certaines données I-Prof et environ 1,22 million d’élèves uniques dans une partie des fichiers étudiés.
Ces nombres proviennent cependant des éléments avancés par ZeroBytes. Ils ne peuvent pas être additionnés pour obtenir un total fiable de victimes et ne sont pas confirmés officiellement par le ministère.
43 Go répartis en trois grands ensembles
La revendication décrit trois blocs principaux.
| Ensemble revendiqué | Volume | Contenu principal |
|---|---|---|
| Premier ensemble | Environ 24 Go / 1 581 fichiers | Principalement académie de Créteil et plusieurs systèmes scolaires |
| Deuxième ensemble | Environ 17,8 Go / 1 048 fichiers | Exports I-Prof couvrant les 33 académies françaises |
| Troisième ensemble | Environ 1,6 Go | Annuaires académiques de Créteil et Versailles |
Ce découpage est important car il suggère que le pirate ne revendique pas seulement la copie d’une unique base de données.
Il affirme avoir pu accéder à plusieurs environnements distincts de l’Éducation nationale.
BE1D : des données d’enfants du primaire potentiellement exposées
Une partie des fichiers revendiqués proviendrait de l’ancienne Base Élèves 1er Degré, ou BE1D, utilisée pour la gestion administrative des enfants scolarisés en maternelle et en élémentaire.
Selon FrenchBreaches, les informations susceptibles d’être présentes comprennent notamment :
- nom et prénom des élèves ;
- date et lieu de naissance ;
- identifiants scolaires ;
- inscriptions et changements d’établissement ;
- historique de scolarité ;
- informations relatives à la restauration scolaire ;
- transport scolaire ;
- garderie ;
- coordonnées et adresses ;
- informations concernant les parents ou responsables légaux.
Certaines données remonteraient à 2005.
Si ce contenu est authentifié, la fuite serait particulièrement sensible puisqu’elle concernerait directement des mineurs et permettrait parfois de relier un enfant à ses responsables légaux.
SCHAAF : élèves, personnels et établissements dans le même annuaire
Un autre ensemble revendiqué serait issu de SCHAAF, un système participant à l’alimentation de l’annuaire académique fédéré.
Les fichiers comporteraient notamment des informations sur :
- les élèves ;
- les personnels ;
- les établissements ;
- les affectations ;
- les relations entre parents et enfants ;
- les structures scolaires ;
- les adresses électroniques académiques.
Certaines traces remonteraient à 2007 et des données auraient été mises à jour jusqu’en 2026.
Des dossiers concernant des élèves en difficulté seraient également présents
C’est l’un des aspects les plus sensibles de la revendication.
ZeroBytes affirme également avoir récupéré plusieurs bases liées au suivi individualisé d’élèves rencontrant des difficultés ou présentant un risque de décrochage, principalement dans l’académie de Créteil.
Ces données couvriraient différentes années scolaires entre 2020-2021 et 2025-2026 et pourraient notamment comprendre :
- des absences ;
- des dossiers de suivi ;
- des convocations ;
- des entretiens ;
- des informations sur l’établissement ;
- certaines décisions prises dans le cadre du suivi de l’élève.
À ce stade, l’authenticité exhaustive de ces fichiers reste à confirmer.
Mais si elle l’était, leur niveau de sensibilité serait nettement supérieur à celui d’un simple annuaire contenant des noms et des adresses électroniques.
SCONET : la scolarité des collégiens et lycéens potentiellement concernée
La revendication mentionne également plusieurs exports associés à SCONET, système historique de gestion des élèves du second degré.
FrenchBreaches indique que deux ensembles représenteraient environ 8,5 Go pour l’année scolaire 2024-2025 et environ 5,7 Go pour 2025-2026.
Les informations revendiquées pourraient porter sur :
- l’identité des élèves ;
- les inscriptions ;
- les établissements fréquentés ;
- les coordonnées ;
- le parcours scolaire ;
- les évaluations ;
- les compétences ;
- la vie scolaire ;
- le suivi du décrochage ;
- certaines périodes de formation en entreprise.
Certaines données remonteraient jusqu’à 2016.
I-Prof : les personnels des 33 académies seraient concernés
Le deuxième grand ensemble revendiqué est particulièrement important pour les enseignants et personnels de l’Éducation nationale.
Près de 17,8 Go de fichiers seraient issus d’I-Prof.
I-Prof est le service officiel permettant notamment aux enseignants de consulter certaines informations relatives à leur carrière et à leur dossier administratif.
ZeroBytes affirme disposer d’exports provenant des 33 académies françaises, en métropole et outre-mer.
Les données pourraient notamment contenir :
- identité ;
- date de naissance ;
- adresses et coordonnées ;
- adresse électronique académique ;
- identifiants administratifs ;
- corps et grade ;
- affectations ;
- situation professionnelle ;
- contrats ;
- qualifications et diplômes ;
- formations ;
- disponibilités ;
- historique de certaines sessions ;
- informations sur les services administratifs associés.
Les fichiers revendiqués seraient particulièrement récents : certains exports sont datés de juillet 2026.
4,35 millions d’identifiants de personnels : que signifie réellement ce chiffre ?
ZeroBytes avance un chiffre d’environ 4,35 millions d’identifiants de personnels distincts après déduplication d’une partie des fichiers I-Prof.
Il ne faut surtout pas interpréter ce nombre comme 4,35 millions d’enseignants actuellement en activité.
Les fichiers pourraient comprendre :
- des enseignants actuels ;
- d’anciens enseignants ;
- des retraités ;
- des personnels administratifs ;
- des agents ayant changé plusieurs fois de statut ;
- des données historiques accumulées sur plus de vingt ans.
Le nombre réel de personnes uniques touchées n’est donc pas connu.
Créteil et Versailles : plus de 600 000 comptes revendiqués
Autre élément préoccupant : deux extractions d’annuaires LDAP/OpenAM auraient été récupérées.
Elles concerneraient les académies de Créteil et Versailles.
| Académie | Nombre d’entrées revendiqué |
|---|---|
| Créteil | 399 305 |
| Versailles | 202 977 |
| Total | 602 282 entrées |
Ces annuaires pourraient contenir des comptes appartenant à des enseignants, élèves, personnels administratifs, administrateurs et comptes techniques.
Les informations annoncées comprennent notamment les identifiants de comptes, les adresses e-mail académiques, dates de naissance, fonctions, disciplines, établissements et l’état actif ou inactif des comptes.
Des empreintes de mots de passe seraient présentes
C’est un autre point qui change sensiblement l’évaluation du risque.
ZeroBytes affirme que certains exports LDAP contiennent des empreintes cryptographiques de mots de passe.
Une empreinte, ou hash, n’est pas le mot de passe directement stocké en clair.
En théorie, il s’agit d’une valeur dérivée du mot de passe grâce à une fonction mathématique à sens unique.
Mais certaines empreintes peuvent malgré tout être attaquées hors ligne : si le mot de passe d’origine est faible, court, prévisible ou réutilisé, un attaquant peut parfois parvenir à retrouver la valeur correspondante.
La présence de ces empreintes est pour l’instant une revendication de ZeroBytes et n’a pas été confirmée par le ministère.
Pourquoi cela contredit-il en apparence le communiqué du ministère ?
C’est le point central de toute l’affaire.
Le 31 juillet 2026, l’Éducation nationale avait officiellement confirmé une intrusion survenue dans la nuit du 25 juillet, après l’usurpation d’un compte professionnel.
Le ministère expliquait que l’attaque avait ciblé un système d’information dédié à la formation des personnels.
Il indiquait alors explicitement que ce système ne contenait :
- ni données bancaires ;
- ni mots de passe ;
- ni données relatives aux élèves.
Cette déclaration n’est pas nécessairement incompatible avec la nouvelle revendication.
Le ministère parlait alors du système précis dont il avait confirmé la compromission. ZeroBytes affirme aujourd’hui que son accès lui aurait ensuite permis d’atteindre plusieurs autres environnements.
Autrement dit, le scénario revendiqué serait :
- compromission initiale d’un accès ;
- accès à un environnement interne ;
- déplacement vers d’autres systèmes ;
- extraction de bases supplémentaires.
Cette extension de l’intrusion n’est toutefois pas encore confirmée officiellement.
ZeroBytes affirme avoir obtenu un accès VPN
Le cybercriminel explique que l’un de ses points d’entrée aurait été un accès VPN.
Un VPN professionnel permet généralement à un utilisateur autorisé de se connecter à distance à une partie du réseau interne d’une organisation.
La compromission d’un tel accès peut donc être particulièrement grave si le compte possède des droits importants ou si le réseau interne est insuffisamment segmenté.
ZeroBytes affirme que cet accès lui aurait permis de naviguer entre plusieurs environnements et de récupérer les différents ensembles aujourd’hui revendiqués.
FrenchBreaches rappelle toutefois que les circonstances exactes permettant l’obtention de cet accès et le niveau réel de privilèges obtenus doivent encore être vérifiés.
« Vous m’aviez détecté, mais vous ne m’avez pas coupé »
Dans une réaction attribuée au pirate dans la soirée du 17 août, ZeroBytes affirme que l’Éducation nationale aurait repéré sa présence sans supprimer immédiatement tous ses accès.
Le cybercriminel soutient en substance être resté infiltré après cette première détection.
Cette affirmation vient directement de l’attaquant et ne peut pas être considérée comme un fait établi à ce stade.
Le communiqué officiel du ministère indique au contraire que l’accès externe au système identifié a été suspendu après la détection de l’incident et que des contrôles ont été lancés sur les autres systèmes.
Une réponse officielle sera donc nécessaire pour déterminer si ZeroBytes possédait réellement plusieurs accès distincts ou s’il exagère l’étendue de sa persistance dans le réseau.
ZeroBytes, le même nom que dans l’affaire des Impôts
Le pseudonyme est déjà bien connu depuis quelques jours.
ZeroBytes est également à l’origine de la revendication concernant la Direction générale des Finances publiques.
Dans cette affaire, l’existence de l’intrusion et de l’extraction de données a ensuite été confirmée par Bercy.
La DGFiP a finalement établi que 678 000 particuliers et professionnels étaient concernés.
Retrouvez notre dossier : Impots.gouv.fr piraté : ce que l’on sait de la fuite de données.
Le fait que certaines revendications antérieures de ZeroBytes aient été suivies de confirmations officielles contribue à rendre la nouvelle alerte crédible.
Mais cela ne prouve pas automatiquement que chaque fichier, chaque chiffre et chaque système revendiqué dans l’affaire Éducation nationale est authentique.
Ce qui est confirmé et ce qui ne l’est pas
| Information | Statut au 17 août 2026 à 23 h 50 |
|---|---|
| Intrusion dans un système de l’Éducation nationale le 25 juillet | Confirmée officiellement |
| Usurpation d’un compte professionnel | Confirmée officiellement |
| Exfiltration possible de données de personnels | Confirmée officiellement |
| Agents ayant exercé en académie depuis 2001 potentiellement concernés | Confirmé officiellement |
| 43 Go de données exfiltrées | Revendiqué par ZeroBytes |
| 346 178 591 lignes | Revendiqué |
| 1,22 million d’élèves uniques | Estimation issue de la revendication |
| 4,35 millions d’identifiants de personnels | Estimation issue de la revendication |
| Données BE1D et SCONET | Revendiquées, non confirmées par le ministère |
| Exports I-Prof des 33 académies | Revendiqués |
| 602 282 entrées LDAP Créteil + Versailles | Revendiquées |
| Empreintes de mots de passe | Revendiquées |
| Compromission de plusieurs systèmes internes | Revendiquée, périmètre à confirmer |
Qui pourrait être concerné si la fuite est confirmée ?
Le périmètre potentiel est extrêmement large.
Selon les différents fichiers revendiqués, pourraient être concernés :
- des élèves de maternelle et élémentaire ;
- des collégiens et lycéens ;
- d’anciens élèves ;
- des parents et responsables légaux ;
- des enseignants ;
- des AESH ;
- des personnels administratifs ;
- d’anciens agents ;
- des retraités ;
- des administrateurs informatiques ;
- des utilisateurs d’annuaires académiques.
Il est toutefois impossible, pour le moment, de déterminer si toutes ces personnes ont effectivement vu des données exfiltrées et publiées.
Comment savoir si vous êtes concerné ?
À l’heure actuelle, aucun outil officiel ne permet de saisir son nom, son adresse e-mail académique ou son identifiant pour vérifier sa présence dans cette nouvelle fuite revendiquée.
Il est fortement déconseillé de transmettre vos informations personnelles à un site inconnu prétendant effectuer cette vérification.
Le ministère avait indiqué après l’incident du 25 juillet que les personnes susceptibles d’être concernées seraient informées individuellement.
La nouvelle revendication change cependant potentiellement le périmètre des victimes, puisque des élèves et parents pourraient désormais être concernés si les affirmations de ZeroBytes sont confirmées.
Il faudra donc attendre une nouvelle communication officielle du ministère pour connaître précisément les populations devant être notifiées.
Si vous êtes enseignant ou personnel : faut-il changer votre mot de passe ?
Compte tenu de la présence revendiquée d’empreintes de mots de passe dans certains annuaires, changer le mot de passe d’un compte académique peut être une précaution raisonnable, en particulier s’il est ancien ou réutilisé ailleurs.
Choisissez un mot de passe :
- long ;
- unique ;
- jamais utilisé sur un autre service ;
- sans information facilement devinable.
Si une authentification à deux facteurs est disponible sur vos différents comptes sensibles, activez-la.
Un gestionnaire de mots de passe peut également faciliter l’utilisation de mots de passe uniques. TechPi présente par exemple Bitwarden dans notre dossier dédié.
Parents : attention aux faux messages de l’école
Le risque immédiat n’est pas nécessairement qu’un attaquant se connecte directement à tous les comptes concernés.
Une base associant le nom d’un enfant, son établissement, son responsable légal et certaines informations scolaires pourrait permettre de fabriquer un phishing extrêmement convaincant.
Un parent pourrait par exemple recevoir un faux message concernant :
- une inscription scolaire ;
- une facture de cantine ;
- une sortie scolaire ;
- une absence ;
- une demande de mise à jour du dossier ;
- une orientation ;
- un faux message ENT ;
- une prétendue procédure de sécurisation du compte après la cyberattaque.
Un message contenant le vrai nom de votre enfant et son véritable établissement n’est donc pas nécessairement authentique.
Élèves : ne validez jamais une connexion inattendue
Les élèves disposant d’un compte académique, ENT ou autre identifiant scolaire doivent également être prudents.
Ne communiquez jamais :
- votre mot de passe ;
- un code de double authentification ;
- un code reçu par SMS ;
- une validation de connexion reçue sans l’avoir demandée.
En cas de doute, passez directement par le site ou l’application habituelle de votre établissement plutôt que par un lien contenu dans un message.
Le risque le plus sérieux : le croisement avec d’autres fuites
Une fuite de données prend encore plus de valeur pour les cybercriminels lorsqu’elle est combinée à d’autres bases déjà disponibles.
Un attaquant pourrait par exemple rapprocher :
- une adresse personnelle issue d’une base scolaire ;
- une adresse électronique issue d’une fuite commerciale ;
- un numéro de téléphone récupéré ailleurs ;
- une ancienne fuite de mot de passe ;
- une information fiscale provenant d’une autre cyberattaque.
Cette accumulation permet de constituer un profil extrêmement détaillé d’une victime et d’améliorer considérablement l’efficacité des attaques d’ingénierie sociale.
C’est d’autant plus préoccupant que ZeroBytes est également associé à l’affaire de la DGFiP.
Pourquoi les données de mineurs rendent cette fuite particulièrement sensible
Une adresse e-mail professionnelle peut être remplacée. Les informations relatives à l’enfance sont beaucoup plus difficiles à faire disparaître.
Une date de naissance, un parcours scolaire, le nom d’un parent, des absences ou un historique de suivi peuvent rester valables ou sensibles pendant des années.
Les mineurs représentent également une population particulièrement vulnérable aux tentatives de manipulation.
Si les fichiers de suivi scolaire ou de décrochage sont réellement concernés, les conséquences en matière de confidentialité seraient particulièrement sérieuses.
L’Éducation nationale avait déjà subi plusieurs incidents en 2026
Cette affaire s’inscrit dans une succession particulièrement préoccupante.
En mars, une intrusion touchant le système COMPAS avait entraîné une fuite concernant environ 243 000 agents.
En avril, le ministère avait également confirmé une attaque ciblant des données de certains élèves via un service lié à ÉduConnect.
Enfin, le 31 juillet, le ministère annonçait l’incident du 25 juillet aujourd’hui associé par ZeroBytes à une fuite potentiellement beaucoup plus importante.
| Date révélée | Incident | Population |
|---|---|---|
| Mars 2026 | COMPAS | Environ 243 000 agents |
| Avril 2026 | Service lié à ÉduConnect | Élèves |
| 31 juillet 2026 | Système de formation des personnels | Agents ayant exercé en académie depuis 2001 |
| 17 août 2026 | Extension revendiquée par ZeroBytes | Élèves, parents et personnels potentiellement concernés |
Le ministère n’a pas encore confirmé l’ampleur revendiquée
Au moment de notre dernière vérification, tard dans la soirée du 17 août 2026, la page officielle du ministère consacrée à l’incident n’avait pas été mise à jour pour confirmer les nouveaux éléments avancés par ZeroBytes.
Le dernier cadre officiel reste donc celui du 31 juillet :
- intrusion confirmée ;
- exfiltration possible de données de personnels ;
- agents ayant exercé en académie depuis 2001 potentiellement touchés ;
- pas de données élèves ni de mots de passe dans le système alors identifié.
La revendication du 17 août affirme précisément que ce système n’aurait été qu’une partie d’un accès beaucoup plus large.
C’est ce point que les investigations de l’Éducation nationale, de l’ANSSI, de la CNIL et de la justice devront désormais établir.
Une affaire à suivre de très près
À ce stade, deux erreurs seraient possibles.
La première consisterait à minimiser la fuite en ne retenant que le communiqué du 31 juillet alors que des éléments très détaillés concernant plusieurs autres systèmes sont désormais revendiqués.
La seconde serait de transformer immédiatement toutes les déclarations du cybercriminel en faits établis.
La réalité se situe actuellement entre les deux : l’intrusion est officielle, ZeroBytes fournit un niveau de détail important qui renforce la crédibilité de sa revendication, mais l’étendue complète de la fuite reste encore à authentifier.
Si les 43 Go de données, les exports I-Prof, les bases d’élèves et les annuaires contenant des empreintes de mots de passe sont confirmés, cette affaire pourrait devenir l’une des fuites de données publiques les plus sensibles de l’année en France.
TechPi mettra ce dossier à jour dès qu’une réponse officielle du ministère précisera le nombre de victimes et les systèmes réellement compromis.
À lire également sur TechPi
- Impots.gouv.fr piraté : ce que l’on sait de la fuite de données
- Fuite Bloctel : des numéros exposés, ce qui est confirmé
- Bitwarden : sécuriser ses mots de passe après une fuite
- Toutes les actualités cybersécurité de TechPi
Sources
- FrenchBreaches — Piratage massif de l’Éducation nationale, mise à jour du 17 août 2026
- FrenchBreaches — fiche de la fuite revendiquée par ZeroBytes
- Ministère de l’Éducation nationale — communiqué officiel du 31 juillet 2026
- Ministère de l’Éducation nationale — présentation officielle d’I-Prof
- Ministère de l’Éducation nationale — précédente fuite ÉduConnect d’avril 2026
