EduConnect hacké en 2 jours seulement : la preuve que nos systèmes scolaires sont une passoire

Une nouvelle alerte secoue le monde de l’éducation numérique : les hackers du groupe DumpSec affirment avoir dérobé des informations sensibles sur des millions d’enfants français via la plateforme EduConnect. Dans un contexte où la cybersécurité publique patine, parents et ados geeks doivent redoubler de vigilance face à ces données qui pourraient alimenter des arnaques ciblées.

L’ampleur choquante de la compromission

Le collectif malveillant DumpSec met en vente une vaste base extraite d’EduConnect, service clé du ministère pour accéder aux bulletins et formalités scolaires. Selon des analyses indépendantes, cela toucherait plus de 3,5 millions d’élèves, surtout des mineurs du primaire à la terminale. Au menu des fuites : identités complètes avec noms et prénoms, adresses email, classes et écoles fréquentées, sans oublier 7,2 millions de bulletins et 400 000 attestations ASSR2 sur la sécurité routière. Certains mots de passe y figurent même en clair. L’intrusion, survenue fin décembre 2025 pendant deux jours, exploitait une vulnérabilité technique simple appelée IDOR, permettant de contourner les protections via des requêtes manipulées. Le ministère a récemment admis une cyberattaque similaire par usurpation de compte, déposant plainte sans chiffrer précisément les victimes.

Une vague d’attaques qui n’épargne pas l’Éducation nationale

Cette brèche s’inscrit dans une série noire pour les services numériques français. En mars 2026, le système COMPAS exposait déjà les coordonnées de 243 000 enseignants, tandis que le CROUS subissait une fuite touchant 774 000 étudiants. Ajoutez les incidents au ministère de l’Intérieur, des Sports et de la Santé : l’État semble vulnérable aux intrusions répétées. Ironie du sort, l’Opération Cactus lancée peu avant par le gouvernement visait à alerter sur le phishing. Résultat : sur 9,2 millions de destinataires – élèves, parents, profs –, plus d’1,1 million ont cliqué sur le faux lien piégé, révélant une fragilité collective. Le RGPD renforce les sanctions pour les données de mineurs, rendant ces cas éthiquement explosifs.

Risques réels et boucliers pour les geeks familiaux

Avec ces infos précises, les cybercriminels peuvent monter des phishing ultra-personnalisés : faux emails d’écoles promettant des récompenses ou signalant des problèmes de notes. Pour les ados geeks, danger accru si emails scolaires recyclés servent à des comptes gaming – imaginez un faux concours « bulletin récompensé » menant à un vol de Steam ou Epic. Les familles doivent changer mots de passe EduConnect, activer l’authentification forte, scruter mails suspects et signaler via signalement.gouv.fr. Le ministère renforce désormais les accès, mais la proactivité prime face à ces ombres numériques persistantes. Notre article sur phishing ultra-personnalisés complète parfaitement cette lecture.

Face à ces failles récurrentes, la confiance dans les plateformes éducatives en prend un coup. Pourtant, une vigilance accrue, alliée à des outils comme les gestionnaires de mots de passe, peut transformer ces menaces en leçons précieuses pour naviguer sereinement dans l’univers connecté quotidien.