Le piratage de l'Éducation nationale avait été annoncé début août, dans un périmètre bien plus étroit que celui revendiqué aujourd'hui

Le 6 août, le ministère assurait qu'aucun mot de passe n'était concerné. Douze jours plus tard, ZeroBytes en revendique 600 000, ainsi que 1,22 million d'élèves et 346 millions de lignes de données.

Le 6 août 2026, le ministère de l'Éducation nationale annonce, dans un communiqué publié sur son site, une intrusion frauduleuse dans « l'un de ses systèmes d'information », sans préciser à ce stade lequel, provoquée par l'usurpation d'un compte professionnel. Selon Midi Libre et La Dépêche, l'incident concerne des agents en poste depuis 2001, avec exfiltration possible de numéros de sécurité sociale et d'adresses. Le communiqué précise, comme le rapporte RTL, que ce système « ne contient ni données bancaires, ni mots de passe, ni données relatives aux élèves ». Dans la nuit du 17 au 18 août, le groupe ZeroBytes revendique, selon RTL, Numerama et Cyberattaque.org, 346 178 591 lignes de données et 43 gigaoctets issus des systèmes de l'Éducation nationale.

Les deux périmètres ne se recouvrent pas. Le ministère avait confirmé début août, selon Numerama, une intrusion limitée aux données des agents académiques, sans inclure les élèves. ZeroBytes revendique autre chose : des « systèmes utilisés dans le premier degré, les collèges et les lycées », selon FrenchBreaches, avec 1,22 million d'élèves après déduplication, 4,35 millions d'identifiants de personnels et 600 000 mots de passe hashés — un chiffre que RTL précise n'être, à ce stade, pas confirmé par le ministère. Cette dernière catégorie est précisément celle que le communiqué du 6 août disait absente.

Le même jour, la presse ne décrit pas le même incident. Le Figaro parle de « milliers de fichiers » dérobés dans un système de formation, tout en rappelant que « la version exacte des événements reste encore à établir » puisque le ministère affirmait début août avoir coupé « immédiatement » les accès externes au système identifié. Le Monde évoque des « informations très complètes sur les élèves français ». RTL, en reprenant directement le message de ZeroBytes, retient « 1,22 million d'élèves » et « 4,35 millions d'identifiants », tout en soulignant que le ministère ne confirme pas ces chiffres. Trois formulations, trois échelles, aucune validée par une source commune aux trois.

Le ministère n'a, à ce stade, pas confirmé publiquement le lien entre la revendication de ZeroBytes et l'incident annoncé début août, ni fourni de chiffre sur le nombre de personnes concernées. Le communiqué du 6 août ne comportait lui-même aucun chiffre de victimes.

ANSSI et CNIL saisies dès août

L'ANSSI et la CNIL avaient été saisies dès le 6 août, selon La Dépêche, Le Dauphiné et Next, qui rapportent que le ministère a « déposé plainte et saisi l'Agence nationale de la sécurité des systèmes d'information (ANSSI), ainsi que la Commission nationale de l'informatique et des libertés (CNIL) ».

Ni l'une ni l'autre n'a publié depuis de décision ou de mise en demeure sur ce dossier.

« Cette dernière catégorie est précisément celle que le communiqué du 6 août disait absente. »

ZeroBytes, déjà auteur du piratage DGFiP

ZeroBytes n'en est pas à son premier coup. Le même pseudonyme a revendiqué le 12 août l'accès au système de la Direction générale des finances publiques, selon Le Nouvel Obs et Le Télégramme, qui précisent que le pirate a déclaré à l'AFP que son accès au système cadastral avait été « rapidement suspendu après la publication ». Les données de 678 000 particuliers et entreprises étaient concernées, rapporte Le Télégramme. Le syndicat Solidaires Finances publiques a dénoncé une communication « tardive », relevant qu'« il aura fallu attendre la revendication du cybercriminel le 12 août et la révélation dans la presse » pour que l'ampleur de l'incident soit connue.

Ce genre de retard a déjà eu un prix. En janvier 2026, la CNIL a condamné France Travail à 5 millions d'euros d'amende, non pour la fuite elle-même, qui avait touché 36 millions de personnes en mars 2024, mais pour la gestion de l'incident. Un tiers des sanctions prononcées par la CNIL en 2024 visait des manquements à l'obligation de sécurité. L'écart entre un périmètre annoncé et un périmètre réel n'est donc pas une question de communication : c'est une ligne dans un futur dossier de sanction.

L'ANTS, 200 millions débloqués en avril

Le précédent de l'Agence nationale des titres sécurisés, en avril 2026, situe l'enjeu budgétaire : 11,7 millions de comptes potentiellement exposés avaient conduit Matignon à débloquer 200 millions d'euros via France 2030 pour la cybersécurité de l'État. Sébastien Lecornu évoquait alors « environ trois incidents de vol de données par jour depuis le début de 2026 », selon TechRepublic.

Personne, à ce stade, n'a authentifié les fichiers mis en vente par ZeroBytes ni mesuré le volume réel de données sorties des serveurs de l'Éducation nationale. Ni la CNIL ni l'ANSSI n'ont publié de chiffre indépendant, et le ministère n'a pas répondu sur l'écart entre son communiqué du 6 août et la revendication du 18 août.

« Ce genre de retard a déjà eu un prix. »

Le communiqué du 6 août promettait l'absence de mots de passe dans le système compromis. ZeroBytes en revendique 600 000, hashés.