Cyberattaque sur ÉduConnect : le ministère confirme la fuite de données de millions d’élèves

L’annonce qui fait mal à la Rue de Grenelle

C’est une nouvelle qui résonne avec froideur pour des millions de familles françaises. Ce mardi 14 avril 2026, le ministère de l’Éducation nationale a enfin brisé le silence sur un incident que beaucoup redoutaient depuis quelques jours. Tout a commencé le 12 avril sur le forum FrenchBreaches, où le groupe de pirates DumpSec a fièrement affiché son tableau de chasse. On y parle de 3,5 millions d’élèves, allant des petits de l’école primaire aux adolescents de Première. C’est colossal. Le volume de documents évoqué donne le tournis : plus de 7 millions de bulletins de notes et environ 400 000 rapports liés à l’ASSR2. Encore une brèche dans les systèmes éducatifs français. Après les données des enseignants en mars, c’est cette fois celles de millions d’élèves qui ont fuité via la plateforme ÉduConnect. On n’est pas seulement sur des noms ou des adresses mail, mais sur le parcours scolaire complet de mineurs, parfois accumulé sur plusieurs années, ce qui rend l’affaire particulièrement sensible et inquiétante pour la protection de l’enfance.

Une chronologie qui pose question sur la détection

Quand on regarde de plus près le calendrier de cette attaque, on réalise que les pirates ont eu tout le temps de se servir. Tout commence durant les vacances de fin d’année 2025. À ce moment-là, quelqu’un parvient à usurper l’identité d’un fonctionnaire qui possédait des accès très larges. Ce compte « habilité » est devenu la porte d’entrée idéale vers le service de gestion des comptes élèves, une sorte de moteur interne relié à la plateforme ÉduConnect. Ce qui est rageant, c’est qu’une faille technique avait pourtant été repérée à cette même période. Le ministère assure l’avoir corrigée, mais il semblerait que les intrus aient été plus rapides, exploitant la vulnérabilité juste avant que le verrou ne soit posé.

Pendant 24 à 48 heures, les données ont été aspirées en silence. Le plus perturbant reste le délai de réaction : il aura fallu attendre plusieurs mois et une revendication publique sur le web pour que la communication officielle arrive enfin ce 14 avril. Entre-temps, une plainte a été déposée et les enquêteurs tentent de remonter la piste des attaquants, mais le mal semble déjà fait.

Ce que les pirates ont réellement dans leurs dossiers

La grande question que tout le monde se pose devant son écran, c’est de savoir ce qui traîne exactement sur les serveurs des hackers. La liste est malheureusement assez longue. On y trouve les classiques : noms, prénoms, établissements scolaires et classes. Mais l’affaire se corse avec les identifiants ÉduConnect et les adresses email associées. Plus grave encore, des codes d’activation destinés aux comptes qui n’avaient pas encore été ouverts par les parents ont été dérobés. Selon DumpSec, ils auraient même mis la main sur des mots de passe en clair pour ces comptes non activés. C’est une mine d’or pour n’importe quel escroc.

Il faut toutefois noter une nuance entre les versions. Le ministère confirme les données de base et les codes d’activation tout en disant évaluer encore le reste, tandis que les pirates affirment détenir les fameux bulletins scolaires et les attestations de sécurité routière. Si cela se confirme, c’est l’intimité pédagogique des élèves qui est exposée aux yeux de tous.

Une erreur humaine doublée d’une faille technique

Comment un tel mastodonte a-t-il pu se faire piéger ? Le scénario ressemble à un mauvais film de cybersécurité. Le point de départ est une usurpation d’identité, sans doute via un phishing bien ficelé contre un agent administratif. Mais l’erreur humaine n’explique pas tout. Les experts évoquent une faille de type IDOR, un nom un peu barbare pour dire qu’en changeant simplement un numéro dans la barre d’adresse de leur navigateur, les pirates ont pu consulter les dossiers d’autres établissements sans que le système ne les bloque.

C’est un problème de conception assez basique qui témoigne d’une gestion des privilèges un peu trop lâche. En gros, une fois à l’intérieur avec un compte légitime, les intrus avaient trop de liberté de mouvement. Cette absence de contrôle granulaire a permis de passer d’une simple consultation à un pillage massif en un temps record, sans que les systèmes d’alerte ne tirent la sonnette d’alarme immédiatement.

Des risques bien réels pour les parents et les enfants

On pourrait se dire que ce ne sont que des notes, mais l’enjeu est bien plus profond. Pour les élèves concernés, c’est une porte ouverte à l’usurpation d’identité dans le futur. Avec un bulletin scolaire, un nom et une adresse, un pirate peut se faire passer pour un organisme officiel avec une crédibilité effrayante. Pour les comptes qui n’étaient pas encore activés, les codes fuités permettent à n’importe qui de créer le compte à la place de la famille et d’accéder à tous les services liés. C’est aussi une question de dignité : voir ses appréciations de profs ou ses difficultés scolaires exposées sur le darknet est une forme de violence numérique. Cet incident s’ajoute à une liste qui commence à être très longue pour l’Éducation nationale, entre le piratage de l’UNSS ou celui du logiciel Compas. On a l’impression que les données des mineurs sont devenues la cible préférée des cybercriminels, car elles sont fraîches et souvent moins bien protégées que celles des banques.

La réponse des autorités face à l’incendie

Depuis que l’affaire a éclaté, les services de l’État tentent d’éteindre le feu. La première mesure d’urgence a été la réinitialisation complète de tous les codes d’accès pour les comptes qui n’avaient pas encore été activés. La faille technique utilisée a également été colmatée pour éviter que d’autres ne s’y engouffrent. Le ministère a déposé plainte et les gendarmes spécialisés du C3N sont sur le coup.

La CNIL et l’ANSSI ont bien sûr été informées comme le veut la loi. Cependant, on peut regretter qu’à l’heure actuelle, il n’y ait pas encore eu de mail individuel envoyé à chaque parent d’élève pour les prévenir personnellement du degré d’exposition de leurs enfants. Pour l’instant, la communication reste globale, ce qui laisse beaucoup de familles dans le flou, ne sachant pas si elles font partie du lot des 3,5 millions de victimes potentielles ou si elles ont eu de la chance.

Un problème structurel qui dépasse le simple piratage

Si l’Éducation nationale se fait hacker aussi souvent (fuite COMPAS, plateforme GAEL), ce n’est pas seulement par manque de chance. C’est un paquebot énorme avec une multitude de plateformes numériques qui s’empilent les unes sur les autres. Entre les ENT régionaux, Pronote, ÉduConnect et les applications tierces, la surface d’attaque est gigantesque. Chaque nouveau service est une porte de plus à surveiller, et l'on sent bien que la détection des intrusions est le point faible du système. Les moyens mis dans la défense semblent toujours avoir un train de retard sur les attaquants. Comparé aux récentes fuites dans le secteur de la santé ou de l’assurance maladie, le cas de l’école est critique car il touche des citoyens qui n’ont pas encore les réflexes de protection numérique. On en vient à se demander jusqu’à quand on va confier autant d’informations sensibles à des structures qui peinent visiblement à garantir leur étanchéité.

Nos conseils pour limiter les dégâts

Même si le mal est fait pour les données déjà parties, il y a des réflexes à adopter tout de suite. Si votre compte ÉduConnect ou votre ENT est actif, la première chose à faire est de changer votre mot de passe. N’utilisez pas le même que pour votre boîte mail ou vos réseaux sociaux. Quand cela est possible, activez la double authentification, c’est-à-dire le petit code reçu par SMS ou via une application.

Soyez aussi extrêmement vigilants sur les mails ou les appels que vous recevez dans les prochaines semaines. Si quelqu’un se présente comme étant de l’école ou du ministère et vous demande de confirmer des informations personnelles, méfiez-vous, c’est probablement une tentative de phishing utilisant les données de la fuite pour vous mettre en confiance. Et surtout, rappelez-vous que la sécurité à 100 % n’existe pas, mais on peut au moins compliquer la tâche de ceux qui voudraient profiter de cette faille.