Après les impôts, vos enfants : ZeroBytes a tout volé et il est toujours dans le système
Le groupe de hackers ZeroBytes revendique une intrusion majeure dans les systèmes informatiques de l’Éducation nationale. Cette opération aurait permis d’accéder aux informations de 1,22 million d’élèves, de 4,35 millions d’identifiants de personnels et de 602 000 comptes académiques. Au total, près de 43 Go de données ont été extraits, répartis dans 2 500 fichiers et 346 millions de lignes couvrant plus de deux décennies.
Un volume impressionnant de données exfiltrées
Les informations concernées s’étendent de 2002 à juillet 2026. Elles proviennent principalement de systèmes scolaires et administratifs. Le premier lot, d’environ 24 Go, regroupe 1 581 fichiers liés surtout à l’académie de Créteil et à certains outils nationaux. Un deuxième ensemble de 17,8 Go inclut des exports I-Prof pour les 33 académies françaises. Enfin, 1,6 Go correspondent à des annuaires académiques de Créteil et Versailles. Ces volumes soulignent l’ampleur de la collecte sur une longue période.
Répartition géographique et académique des informations compromises
Les données touchent enseignants, personnels administratifs, élèves du primaire au lycée, parents et responsables légaux, ainsi que des utilisateurs de réseaux académiques. Parmi les éléments exposés figurent noms, prénoms, dates de naissance, adresses, contacts, parcours scolaires, notes disciplinaires, affectations et empreintes de mots de passe. Des données sur des élèves en difficulté ou en décrochage scolaire sont également présentes, tout comme des extraits d’annuaires fédérés.
Un acteur déjà connu pour d’autres attaques sensibles
Le ministère avait reconnu une intrusion le 31 juillet dernier, marquant le troisième incident de ce type en 2026. ZeroBytes est le même groupe qui a récemment compromis les systèmes fiscaux. Selon les déclarations du hacker, l’accès a été détecté sans être bloqué, ce qui a permis de poursuivre la collecte. Des sources récentes confirment que l’intrusion initiale daterait de mi-juillet et que l’acteur aurait utilisé un accès VPN comme point d’entrée. Les investigations officielles se poursuivent pour déterminer l’étendue précise des données réellement exfiltrées.
