Une attaque d’ampleur, révélée seulement quelques mois après. C’est le scénario délivré par l’Éducation nationale alors que des hackers revendiquent avoir eu accès à 3,5 millions de dossiers, majoritairement de mineurs.
READFULLTEXT
Cette nouvelle alerte confirme une série de failles de sécurité récurrentes au sein du ministère. L’attaque a été rendue possible par l’usurpation du compte d’un personnel habilité, qui a permis d’accéder au service de gestion des comptes élèves annexe à ÉduConnect. Après le scandale du piratage de l’Urssaf avec potentiellement plus de 10 millions de personnes affectées en janvier, cette nouvelle affaire met en exergue la vulnérabilité numérique de la France.
Une faille technique exploitée avant correction
Selon le communiqué officiel, une vulnérabilité identifiée en décembre 2025 et rapidement corrigée a été exploitée juste avant sa résolution. L’attaquant n’a pas seulement visé un établissement : il a pu télécharger des données au-delà du périmètre initial. Les comptes déjà activés par les élèves et leurs responsables ne sont pas compromis. En revanche, les codes d’activation des comptes non distribués ont été réinitialisés et bloqués.
Les données piratées incluent le prénom et le nom de l’élève, son identifiant ÉduConnect, son établissement et sa classe, ainsi que son adresse e-mail si elle était renseignée. Le ministère a immédiatement mis en place une cellule de crise, déposé plainte et saisi l’ANSSI ainsi que la CNIL. Il renforce désormais l’accès par double authentification.
Cette fuite intervient moins d’un mois après celle de février 2026, avec 1,2 million de comptes bancaires consultés par un « acteur malveillant ».
Elle s’ajoute à d’autres incidents récents : la plateforme GAEL (5 millions de personnes), l’enseignement catholique (plus d’un million) et le CROUS.
Peu de réactions politiques ont suivi, si ce n’est celle de la députée de la 2e circonscription de Haute-Marne, Laurence Robert-Dehault, qui regrette que « la France accuse un retard inquiétant sur la protection des données et la souveraineté numérique ».
Ces incidents répétés interrogent sur la capacité du ministère à protéger les données sensibles de millions de Français, ici des jeunes dont les données ont été largement exposées.