Un compte usurpé en mars, un autre en juillet, un troisième pour ÉduConnect : à chaque fois, l'intrusion tient à un seul identifiant volé et se traduit par des centaines de milliers de personnes exposées. Derrière le récit d'un retard ministériel, il y a une architecture et une chaîne de responsabilités.
Le 19 mars 2026, en fin de journée, le ministère de l'Éducation nationale apprend qu'une de ses bases circule. L'accès frauduleux à COMPAS, le système qui gère les stagiaires des premier et second degrés, "aurait été réalisé le 15 mars 2026 à la suite de l'usurpation d'un compte externe", indique le ministère dans un communiqué publié le 24 mars. Quatre jours séparent la date de l'accès frauduleux avancée par le ministère, le 15 mars, de l'alerte qui lui parvient. Environ 243 000 agents, stagiaires ou titulaires, ont vu leurs données exfiltrées : identité, adresse et numéro de téléphone, périodes d'absence (sans information de santé), identité et téléphone professionnels des tuteurs.
Ces quatre jours ont nourri un récit : celui d'une administration qui aurait laissé filer une alerte. Le calendrier officiel dit autre chose, et moins spectaculaire. Le ministère n'a pas été prévenu le 15 mars ; il l'a été le 19, et affirme avoir immédiatement activé une cellule de crise, suspendu l'accès externe au système, saisi l'ANSSI et la CNIL et déposé plainte. Le trou n'est donc pas un trou d'inaction, mais un trou de détection : le communiqué ne dit ni qui a repéré l'intrusion, ni pourquoi l'information a mis quatre jours à remonter. Le conditionnel employé pour la date du 15 mars signale d'ailleurs une reconstitution non stabilisée, reprise telle quelle par des sites spécialisés qui en ont fait, sans preuve supplémentaire, une compromission passant par un prestataire externe.
L'été, et une tout autre ampleur
L'histoire la plus lourde n'est pourtant pas celle-là : c'est celle de l'été. Dans la nuit du 25 au 26 juillet, le ministère détecte une intrusion dans un système "dédié à la formation des personnels". Il annonce publiquement l'incident le 31 juillet, évoque les données des "agents ayant exercé en académie depuis 2001", et précise qu'aucune information relative aux élèves n'est stockée dans ce système précis.
Le 17 août, le groupe qui se présente comme un duo de cybercriminels français sous le nom de ZeroBytes - déjà revendicateur du vol de données de la DGFiP - affirme le contraire. Sur un forum, il revendique environ 43 gigaoctets, plus de 2 600 fichiers, 346 178 591 lignes brutes non dédoublonnées. Des lignes techniques, pas des victimes : le groupe parle lui-même d'environ 1,22 million d'élèves distincts et de 4,35 millions de matricules de personnels, archives et retraités compris. Il dit aussi détenir deux annuaires LDAP complets, ceux de Créteil et de Versailles, soit environ 602 000 comptes, avec empreintes de mots de passe. Et il lance à l'administration : "Vous m'aviez détecté, mais vous ne m'avez pas coupé."
Le contenu revendiqué, s'il est authentifié, dépasse largement une affaire de fichiers RH : identité, identifiant national élève, date et lieu de naissance, responsables légaux, inscriptions, restauration, transport, notes et compétences via des exports SCONET 2025-2026, dossiers disciplinaires, orientation, et surtout les bases de suivi du décrochage (MGI, PELV2), avec absences, convocations et décisions des groupes de prévention. Des données de mineurs en difficulté, reliées à leurs parents : le matériau idéal pour un hameçonnage qui parle juste.
Ni le volume ni le contenu ne sont confirmés. Le 18 août, le ministère a maintenu que "l'ensemble des personnels susceptibles d'être concernés" avaient été informés individuellement depuis fin juillet, et que les expertises se poursuivaient pour établir "la nature exacte et l'étendue des données exfiltrées". Si des élèves étaient concernés, a-t-il ajouté, ils seraient informés, ainsi que leurs représentants légaux.
Un compte, des privilèges, vingt-cinq académies
Le rapport de l'ANSSI publié en novembre 2026 donne à cette série sa colonne vertébrale. Entre juillet et septembre, des incidents de sécurité ont été signalés dans 25 des 30 académies. L'agence décrit un mode opératoire répétitif : des identifiants valides, des comptes à privilèges élevés exploités, puis une recherche de nouveaux accès. Annuaires, bases applicatives et boîtes aux lettres exfiltrés ; déplacements latéraux vers d'autres administrations à travers le Réseau interministériel de l'État, et déjà des mouvements identifiés depuis l'environnement de l'Éducation nationale vers la DGFiP.
Autrement dit : le problème n'est pas qu'un prestataire aurait failli, ni qu'un ministre aurait dormi quatre jours. C'est un défaut de cloisonnement. Quand un compte suffit à ouvrir un annuaire, puis un serveur, puis la messagerie du voisin, la sécurité ne dépend plus de la vigilance des agents - que le ministère appelle pourtant à "une vigilance accrue" face au hameçonnage - mais du découpage des réseaux et du contrôle des comptes d'administration. L'ANSSI ne fournit d'ailleurs aucun bilan chiffré global des personnes concernées, et le ministère n'a publié ni le total ni la liste des académies touchées.
Qui est prévenu, et quand
La question la plus dérangeante n'est pas technique. C'est celle de l'égalité devant l'information. Sur COMPAS, les agents devaient être informés "dans les meilleurs délais". Sur la fuite de juillet, les personnels l'ont été individuellement en quelques semaines. Les familles, elles, attendaient encore, un mois après la revendication, que des "expertises" établissent si leurs enfants figuraient dans les fichiers.
Le précédent ÉduConnect montre que ce décalage n'est pas propre à un épisode. L'intrusion, rendue possible par l'usurpation du compte d'un membre du personnel habilité, remontait à la fin de l'année 2025 ; sa révélation publique date du 14 avril 2026. Près de quatre mois entre le fait et sa mise en mots, pour des noms, prénoms, identifiants, établissements et classes d'élèves. À l'inverse, en juillet, la détection a pris moins de vingt-quatre heures : le problème est donc du côté de la clôture de l'incident et de la parole publique, pas de la seule surveillance. La comparaison avec le canton de Vaud, qui a déconnecté sa plateforme d'internet dès la découverte et informé directement élèves et enseignants à la fin octobre, donne la mesure de ce que "prévenir" peut vouloir dire.
Ce que cela coûte, et à qui
Il y a un coût visible : la remédiation menée avec l'ANSSI pendant l'été, réinitialisation des comptes, durcissement des accès d'administration, surveillance des flux, et des semaines de rentrée perturbées à Nantes et à Toulouse, où emplois du temps et opérations administratives ont dû passer par des procédures de contournement. Il y a un coût différé : la fraude, l'usurpation d'identité et le hameçonnage ciblé que ces fichiers rendent possibles, supportés par les agents et les familles, pas par l'administration.
Et il y a un coût qu'on ne voit jamais, parce qu'il n'apparaît nulle part : celui de ce qui n'a pas été financé - la segmentation des réseaux, les clauses de sécurité dans les marchés, la réduction des habilitations à privilèges larges. Un système d'information se sécurise comme il se construit : par arbitrages. Le resserrement annoncé des accès d'administration est, à ce titre, la mesure la plus concrète du dossier - celle qui coûte, bien plus que les communiqués.
L'ANSSI note qu'aucune nouvelle violation de ce périmètre n'a été constatée depuis son point de situation du 30 septembre. C'est un signal encourageant, pas une clôture : les travaux ne sont pas terminés, l'enquête judiciaire ouverte après la plainte de juillet est en cours, et nul n'a publié le nombre total de personnes figurant dans les fichiers revendiqués. Trois questions méritent d'être suivies : les familles recevront-elles un courrier nominatif, ou un communiqué ? Les académies publieront-elles leur périmètre ? Et le plan de remédiation survivra-t-il à la prochaine rentrée, quand la vigilance retombera ?
Car la leçon de 2026 tient en une phrase : à l'Éducation nationale, il n'a pas fallu une armée de pirates pour exposer des centaines de milliers de personnes. Un compte a suffi. Trois fois.
