15 mars 2026
Ministère de l’Éducation / COMPAS
Administration Éducation
Un attaquant a utilisé un compte externe usurpé pour atteindre COMPAS, le système d’information du ministère de l’Éducation utilisé pour la gestion des enseignants stagiaires. L’accès frauduleux a eu lieu le 15 mars 2026. Le centre opérationnel de sécurité du ministère a été alerté le 19 mars après identification d’une diffusion non autorisée de données COMPAS.
Les données d’environ 243 000 agents, dont des stagiaires et des titulaires enregistrés dans le système, ont été exfiltrées. Ce chiffre est un effectif officiel approximatif de personnes.
Faits datés dans le dossier public
Accès frauduleux à COMPAS après usurpation d’un compte externe.
Le COSSIM, centre opérationnel de sécurité du ministère, est alerté. L’accès externe est fermé et une cellule de crise est activée.
La CNIL est notifiée, selon une réponse ultérieure au Sénat.
L’annonce publique établit un périmètre d’environ 243 000 personnes.
Une plainte est déposée, selon la réponse de la ministre au Sénat.
Le ministère indique que les 243 000 personnes concernées seront informées individuellement à cette date.
Comment cela s’est passé
Le ministère indique que l’accès a suivi l’usurpation d’un compte externe. Il ne décrit pas de vulnérabilité logicielle dans COMPAS ni n’explique comment le compte externe a été obtenu. Il s’agit donc d’identifiants compromis utilisés pour un accès authentifié valide.
Ce qui a été exposé
Noms et autres éléments d’identité, adresses postales, téléphones et périodes d’absence sans le motif de santé, pour environ 243 000 agents enregistrés dans COMPAS. L’identité des tuteurs et leurs numéros professionnels ont aussi été exposés. La presse spécialisée a indiqué que des échantillons sont ensuite apparus sur des places de revente ; tout volume revendiqué n’est pas un second décompte officiel.
Ce qui n’était pas dans le périmètre
Le communiqué officiel souligne que les périodes d’absence n’incluaient pas le motif de santé. La source primaire publique examinée n’apporte pas d’éléments pour des allégations plus larges sur des dossiers médicaux ou des identifiants bancaires.
Ce que cela a changé concrètement
Des enseignants et d’autres agents ont exprimé la crainte que ces données servent à les localiser ou à les viser. De vraies adresses personnelles, des numéros de téléphone et un contexte professionnel peuvent étayer du harcèlement, de l’usurpation et des fraudes ciblées, même sans mots de passe dans le jeu de données.
Ce qui a suivi
Le ministère a suspendu l’accès externe à COMPAS, activé une cellule de crise, vérifié d’autres systèmes, notifié l’ANSSI et la CNIL, déposé plainte et informé les agents. Dans le débat parlementaire, la ministre a aussi décrit un programme gouvernemental plus large axé sur la MFA, la segmentation et la réduction de l’exposition des applications.
Ce que les suites ont modifié
Une réponse ultérieure au Sénat fournit les dates de notification à la CNIL (21 mars), de la plainte (24 mars) et de l’information individuelle prévue (au 1er avril). Elle renforce le constat transversal que l’usurpation d’identifiants est une faiblesse récurrente.
Dans leurs mots
usurpation d’un compte externe
Ministère de l’Éducation nationale, 23-24 mars 2026
environ 243 000 agents
Ministère de l’Éducation nationale, 23-24 mars 2026
Qu’est-ce que cela veut dire ?
- MFA (authentification multifacteur)
- Une seconde preuve d’identité en plus du mot de passe — un code, une application ou une clé de sécurité. Les méthodes résistantes au hameçonnage sont les clés et les passkeys.
- Identifiants
- Un couple identifiant / mot de passe, ou la clé équivalente utilisée par une application pour se connecter.