Fuite de données à l’Éducation nationale
des millions d’élèves concernés par l’attaque EduConnect.
Deux récits coexistent depuis avril 2026, et ils ne disent pas la même chose. Le communiqué officiel énumère six catégories de données précises. La revendication criminelle avance des volumes bien plus larges, incluant des documents que le ministère n’a jamais mentionnés. Cet article sépare explicitement les deux.
La chronologie de l’incident
L’intrusion remonte à la fin de l’année 2025. Une faille affectant le service de gestion des comptes élèves, annexe à ÉduConnect, a été repérée par les équipes du ministère en décembre 2025. Elle a été exploitée peu avant sa correction, ce qui situe la compromission dans une fenêtre très courte, à quelques jours de sa fermeture.
Le 12 avril 2026, le groupe DumpSec annonce la mise en vente d’une base issue d’ÉduConnect. La publication est relayée par des sites spécialisés dans le suivi des fuites françaises. Le 14 avril, le ministère publie un communiqué reconnaissant une cyberattaque ciblée ayant entraîné la fuite de données personnelles d’élèves, sans en préciser le volume.
Quatre mois séparent donc l’identification de la faille de l’annonce publique. Ce décalage constitue aujourd’hui le point le plus discuté du dossier, davantage que la faille elle-même.
Confirmé d’un côté, revendiqué de l’autre
Ce que le ministère confirme
Prénom et nom de l’élève.
Identifiant ÉduConnect associé au compte.
Établissement et classe de scolarisation.
Adresse email, uniquement si elle avait été renseignée.
Code d’activation, uniquement pour les comptes jamais activés.
Volume : en cours d’évaluation, aucun chiffre officiel.
Ce que DumpSec revendique
3,5 millions d’élèves, quasi exclusivement mineurs.
7,2 millions de bulletins scolaires, notes et appréciations.
400 000 attestations ASSR2 de sécurité routière.
Statut : revendication commerciale, non confirmée à ce jour.
Vérification : aucune expertise publique n’a validé ces volumes.
L’écart entre les deux colonnes n’est pas anecdotique. Les bulletins scolaires et les attestations de sécurité routière ne figurent pas dans la liste officielle. Ils sont pourtant l’élément le plus repris dans la couverture médiatique, parce que le chiffre est spectaculaire. Un vendeur de données a intérêt à gonfler son lot ; cela ne signifie pas qu’il ment, seulement qu’une revendication n’est pas une constatation.
L’ASSR2 mérite une précision, tant le sigle est opaque hors du milieu scolaire. Il s’agit de l’attestation scolaire de sécurité routière de second niveau, passée en classe de troisième et exigée pour obtenir le permis de conduire avant vingt-cinq ans. Un tel document associe un nom, une date de naissance et un établissement : si sa présence dans le lot se confirmait, elle ajouterait à l’identité de l’élève une donnée d’état civil que le communiqué ministériel ne mentionne pas.
Le code d’activation, lui, mérite d’être compris pour éviter une inquiétude inutile. Il ne s’agit pas d’un mot de passe, mais d’un identifiant temporaire remis à l’élève pour créer son compte lors de la première connexion. Ces codes ont été réinitialisés après l’incident, ce qui rend inexploitables ceux figurant dans les données dérobées.
La faille et le mode opératoire
Le point d’entrée n’est pas une prouesse technique. Selon le ministère, l’incident trouve son origine dans l’usurpation de l’identité du compte d’un personnel habilité. Des identifiants légitimes ont donc permis d’entrer, sans déclencher d’alerte, dans un service que l’agent était autorisé à consulter.
La suite tient à un problème de cloisonnement. Une fois à l’intérieur, l’attaquant n’est pas resté limité au périmètre d’un établissement : il a pu extraire des données concernant des élèves de plusieurs écoles. Un compte d’agent donnait accès à un volume sans commune mesure avec son usage quotidien.
Ce schéma se répète. Le vol d’identifiants passe presque toujours par un canal banal, et l’analyse de Barracuda Networks sur la proportion de courriels malveillants rappelle à quel point ce vecteur reste dominant. La faille exploitée ensuite n’est souvent que le second maillon.
Pourquoi ces données sont particulièrement sensibles
Prises isolément, ces informations paraissent inoffensives. Un prénom, une classe, un établissement : rien qui ressemble à une coordonnée bancaire. Le danger vient de leur combinaison et de leur exactitude.
Un message qui cite le nom exact de l’enfant, son collège et sa classe franchit d’emblée la barrière du doute. Il devient possible de fabriquer une convocation, une demande de régularisation de frais de cantine, un avis de sortie scolaire ou une alerte sur le compte ÉduConnect, adressés au bon parent avec les bons détails.
Deux caractéristiques aggravent la situation. Ces données concernent des mineurs, dont l’identité restera exploitable pendant des décennies. Et elles ne se changent pas : un mot de passe se remplace en trente secondes, pas un établissement de scolarisation. Le précédent des données médicales et scolaires d’élèves français retrouvées sur le dark web a montré que ces lots circulent longtemps après leur mise en vente initiale.
Ce qu’un escroc peut construire
Faux avis de cantine mentionnant le nom de l’enfant et son collège.
Fausse alerte de compte invitant à réactiver un accès ÉduConnect suspendu.
Fausse sortie scolaire réclamant une participation à régler en ligne.
Faux appel téléphonique d’un prétendu secrétariat citant la classe exacte.
Ce qui doit alerter
Un lien de paiement transmis par courriel ou par message plutôt que par l’espace habituel.
Une urgence annoncée sur quelques heures.
Une adresse d’expéditeur proche mais non identique à celle de l’établissement.
Une demande de données que l’école possède déjà.
Les mesures prises par le ministère
La réponse annoncée combine des mesures d’urgence et un chantier de fond sur l’authentification.
- Suspension du service de gestion des comptes élèves dès la détection, et blocage des nouvelles activations le temps de sécuriser l’environnement.
- Réinitialisation des codes d’activation concernés, ce qui rend inutilisables ceux figurant dans le lot dérobé.
- Blocage préventif des comptes non activés et d’une partie des comptes activés entre le 19 décembre 2025 et le 14 avril 2026.
- Saisine de l’ANSSI et de la CNIL, accompagnée d’un dépôt de plainte.
- Déploiement de l’authentification à double facteur sur l’ensemble des comptes ÉduConnect.
Le ministère précise que les comptes déjà activés au moment de l’attaque, protégés par un mot de passe personnalisé, ne sont pas compromis et restent utilisables. C’est l’information la plus utile pour les familles, et aussi la moins reprise.
Le second facteur ne répare rien de ce qui a fuité. Il empêche qu’un identifiant compromis suffise à prendre la main sur un compte, ce qui est déjà considérable pour la suite.
Le délai de notification en question
L’article 33 du RGPD impose au responsable de traitement de notifier une violation de données à l’autorité de contrôle dans les meilleurs délais, et si possible dans les soixante-douze heures suivant la prise de connaissance. L’article 34 impose une communication aux personnes concernées lorsque le risque pour leurs droits et libertés est élevé.
Le ministère indique avoir saisi la CNIL, sans rendre publique la date de cette notification. Ce qui est établi, c’est l’écart entre l’identification de la faille en décembre 2025 et l’information des familles à la mi-avril 2026. Des parlementaires ont demandé l’ouverture d’une commission d’enquête sur ce point, dans un contexte où la CNIL avait déjà alerté sur les manquements en matière de sécurité des traitements.
En arrière-plan, la directive européenne NIS2, qui renforce les obligations de sécurité et de déclaration d’incident des entités essentielles, aurait dû être transposée avant le 17 octobre 2024. Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne contre la France pour ce retard, en demandant des sanctions financières. Au 8 septembre 2026, aucune loi de transposition promulguée n’est confirmée.
Une série d’incidents en 2026
L’attaque ÉduConnect n’est pas un événement isolé. Trois compromissions distinctes ont visé les systèmes du ministère depuis le début de l’année, avec un mode opératoire identique à chaque fois : un compte légitime détourné.
- Mars 2026 — COMPAS. Les données d’environ 243 000 agents, majoritairement des enseignants et des stagiaires, sont exfiltrées du système de gestion des personnels. Le vecteur est l’usurpation d’un compte externe.
- Avril 2026 — ÉduConnect. L’incident décrit ici, dont l’origine remonte à fin 2025.
- Juillet 2026 — formation des personnels. Dans la nuit du 25 juillet, un compte professionnel usurpé donne accès à l’application de gestion de la formation. Le périmètre couvre les agents ayant exercé en académie depuis 2001 : identité, fonctions, et pour une partie d’entre eux adresse postale, téléphone et numéro de sécurité sociale.
Sur ce dernier incident, le ministère indique qu’aucune donnée bancaire, aucun mot de passe et aucune donnée d’élève n’ont été compromis. Une revendication d’août 2026 avance un volume de plusieurs centaines de millions de lignes brutes non dédupliquées : ce nombre ne correspond pas à un nombre de personnes, une même personne apparaissant de multiples fois selon ses affectations. L’expertise se poursuit.
Le périmètre déborde par ailleurs l’enseignement public. En mars 2026, le Secrétariat général de l’enseignement catholique a lui aussi été visé par une cyberattaque ayant exposé des données administratives concernant environ un million et demi de personnes. Trois structures distinctes, un même trimestre, et le même point de rupture à chaque fois : un compte disposant de droits d’extraction très larges.
Le monde éducatif dans son ensemble est visé, au-delà du seul ministère. La paralysie de 80 % des lycées des Hauts-de-France par le rançongiciel Qilin relevait d’une logique différente, mais visait le même écosystème.
Ce que doivent faire les familles concernées
Changer le mot de passe
Un mot de passe unique pour ÉduConnect, jamais réutilisé ailleurs. Si le même figure sur une messagerie ou un site marchand, il faut le remplacer partout.
Activer la double authentification
Dès qu’elle est proposée sur le compte. Elle neutralise l’essentiel du risque lié à un identifiant compromis, y compris pour les fuites à venir.
Passer par l’adresse officielle
Accéder au service depuis un favori enregistré, jamais depuis un lien reçu par courriel ou par SMS, même si le message paraît parfaitement crédible.
Ralentir sur les demandes de paiement
Cantine, sortie scolaire, fournitures : toute demande de règlement doit être vérifiée en appelant l’établissement sur son numéro habituel.
Prévenir l’adolescent
Les élèves reçoivent eux-mêmes des messages calibrés sur leur classe et leur établissement. Leur expliquer pourquoi vaut mieux que leur interdire.
Exercer ses droits
Toute personne concernée peut interroger le ministère sur les données la concernant, et saisir la CNIL en cas de réponse insuffisante.
Après une fuite de données, les escrocs utilisent précisément les informations vraies pour rendre leurs messages crédibles.
Ce qu’on nous demande le plus souvent.
Combien d’élèves sont concernés ?
Le ministère indique que le nombre exact est en cours d’évaluation et n’a communiqué aucun chiffre. Le groupe DumpSec, qui a revendiqué l’attaque, avance 3,5 millions d’élèves quasi exclusivement mineurs. Ce volume provient du vendeur des données et n’a été confirmé par aucune expertise publique.
Quelles données ont réellement fuité ?
Selon le communiqué officiel : prénom, nom, identifiant ÉduConnect, établissement et classe, adresse email si elle avait été renseignée, et code d’activation pour les seuls comptes jamais activés. Les bulletins scolaires et les attestations ASSR2 relèvent de la revendication criminelle et ne figurent pas dans cette liste.
Le compte de mon enfant est-il compromis ?
Le ministère précise que les comptes déjà activés avec un mot de passe personnalisé au moment de l’attaque ne sont pas compromis et restent utilisables. Les comptes non activés et une partie de ceux activés entre le 19 décembre 2025 et le 14 avril 2026 ont fait l’objet d’un blocage préventif.
Comment l’attaquant est-il entré ?
Par l’usurpation de l’identité du compte d’un personnel habilité, à la fin de l’année 2025. Ces identifiants légitimes ont donné accès au service de gestion des comptes élèves, annexe à ÉduConnect, où une faille identifiée en décembre 2025 a été exploitée peu avant sa correction.
Pourquoi l’annonce a-t-elle pris quatre mois ?
Le ministère n’a pas rendu publique la date de sa notification à la CNIL. Le RGPD impose une notification à l’autorité de contrôle sous soixante-douze heures et une information des personnes concernées en cas de risque élevé. L’écart entre décembre 2025 et le 14 avril 2026 fait l’objet d’une demande de commission d’enquête parlementaire.
Est-ce la première fuite de l’année au ministère ?
Non. Trois incidents distincts sont confirmés en 2026 : le système COMPAS en mars, avec environ 243 000 agents concernés, ÉduConnect en avril, puis l’application de formation des personnels dans la nuit du 25 juillet. Le point commun des trois est l’usurpation d’un compte légitime.
Que faire si je reçois un message suspect ?
Ne pas cliquer, ne pas répondre, et vérifier en appelant l’établissement sur son numéro habituel. Un message contenant le nom exact de l’enfant, sa classe et son collège peut parfaitement être frauduleux : ces informations font précisément partie de celles qui ont fuité.
Peut-on faire retirer ces données ?
Non, une donnée diffusée ne se retire pas. Toute personne concernée peut en revanche exercer son droit d’accès auprès du ministère et saisir la CNIL. La protection repose désormais sur la vigilance face aux sollicitations, pas sur un effacement devenu impossible.
- Ministère de l’Éducation nationale — Incident de sécurité affectant les données de certains élèves, communiqué du 14 avril 2026
- Ministère de l’Éducation nationale — Incident de sécurité affectant les données de personnels, juillet 2026
- CNIL — Obligations de notification en cas de violation de données personnelles
- ANSSI — Agence nationale de la sécurité des systèmes d’information
- Generation-NT — Compte rendu de l’incident ÉduConnect et rappel de la fuite COMPAS
- Journal du Geek — Détail de la revendication publiée par DumpSec le 12 avril 2026
- Cybermalveillance.gouv.fr — Assistance et signalement pour les particuliers
WY-Créations analyse les évolutions du web, de la cybersécurité et des usages numériques. Cet article distingue les éléments confirmés par le ministère de ceux revendiqués par les auteurs de l’attaque, et ne constitue pas un conseil juridique. Pour aller plus loin : toutes les actualités web.
Votre site doit rester fiable quand les menaces évoluent.
Création, maintenance et suivi technique : WY-Créations construit des sites pensés pour rester exploitables et sécurisés au quotidien.