Aller au contenu
France Cyberwatch
enfr

Retour aux incidents

14 avril 2026

Ministère de l’Éducation / ÉduConnect

Administration Éducation

Critique Confirmé

Le ministère de l’Éducation a indiqué le 14 avril 2026 que des données d’élèves avaient été exfiltrées d’un service lié à ÉduConnect. Le compte d’un personnel habilité a été usurpé fin 2025, et une faille identifiée en décembre 2025 a été exploitée peu avant sa correction.

Le ministère confirme l’exfiltration mais n’a pas publié d’effectif définitif d’élèves. Les revendications criminelles de 3,5 millions d’élèves et 7,2 millions de bulletins restent des revendications, pas le périmètre vérifié du ministère.

Faits datés dans le dossier public

  1. Le compte d’un personnel habilité est usurpé fin 2025, donnant un accès frauduleux au service de gestion des comptes élèves (jour exact non publié).

  2. Une vulnérabilité du service est identifiée en décembre et, selon le ministère, exploitée peu avant sa correction (jour exact non publié).

  3. Un groupe criminel met en vente des données qu’il présente comme issues de l’environnement éducatif, avec un chiffre de plusieurs millions d’élèves.

  4. Le ministère de l’Éducation confirme publiquement l’exfiltration ; le nombre exact d’élèves est encore en évaluation.

  5. Le Monde indique que le ministère ne connaît toujours pas le nombre exact d’élèves concernés.

  6. Les enquêteurs français interpellent sept personnes présentées comme de présumés membres de DumpSec, dans une enquête plus large visant plus de 1 500 entités. C’est un contexte d’attribution ; cela ne valide pas l’effectif d’élèves revendiqué.

  7. La presse spécialisée relie les interpellations à une campagne DumpSec plus large et reprend les revendications du groupe sur ÉduConnect. Ces chiffres restent hors du décompte confirmé du ministère.

Comment cela s’est passé

Contrairement à COMPAS, cet incident combine une identité compromise et une faiblesse logicielle. Le ministère indique que le compte d’un personnel habilité a été usurpé et qu’une vulnérabilité du service de gestion des comptes a été exploitée peu avant sa correction. Le communiqué public ne nomme pas la vulnérabilité, ne fournit pas de CVE et n’explique pas la séquence précise des requêtes.

Ce qui a été exposé

Les champs officiellement confirmés sont le prénom et le nom de l’élève, l’identifiant ÉduConnect, l’établissement et la classe, l’e-mail s’il était renseigné, et le code d’activation uniquement pour les comptes non encore activés. Le ministère confirme l’exfiltration. Il n’a pas publié d’effectif définitif d’élèves à la date de clôture de la recherche.

Ce qui n’était pas dans le périmètre

Le ministère indique que les comptes déjà activés par les élèves et leurs responsables n’ont pas été compromis et pouvaient continuer à être utilisés. Il a réinitialisé les codes des comptes non activés et bloqué les comptes non distribués ou non activés. La liste officielle des champs n’inclut pas de données de santé ni de numéros de sécurité sociale.

Ce que cela a changé concrètement

Parce que le jeu de données concerne des mineurs et des établissements, le risque principal est un hameçonnage très crédible à thème scolaire visant élèves et parents. L’établissement, la classe, l’identité et le contexte d’activation peuvent servir à usurper un chef d’établissement, un portail parents ou un processus d’assistance aux comptes.

Revendication d’attaquant (pas un décompte confirmé)

DumpSec, ou des comptes qui lui sont attribués, ont revendiqué environ 3,5 millions d’élèves et 7,2 millions de bulletins. Ces chiffres restent des revendications criminelles. Ils ne remplacent pas un effectif d’élèves vérifié par le ministère.

Ce qui a suivi

Le ministère a suspendu l’accès au service touché, activé une cellule de crise, réinitialisé les codes d’activation, bloqué les comptes non activés, commencé à renforcer les accès avec la MFA, notifié l’ANSSI et la CNIL, et déposé plainte. Les familles ont été invitées à la vigilance face aux fraudes à thème scolaire.

Ce que les suites ont modifié

En juin 2026, les enquêteurs français ont interpellé sept personnes présentées comme de présumés membres de DumpSec, dans une enquête plus large. Cela renforce le contexte d’attribution au niveau de la campagne. Cela ne valide pas les effectifs d’élèves ou de bulletins revendiqués, et le nombre officiel d’élèves reste non publié.

Dans leurs mots

  • le nombre exact est en cours d’évaluation

    Ministère de l’Éducation nationale, 14 avril 2026

  • usurpation d’identité du compte d’un personnel habilité

    Ministère de l’Éducation nationale, 14 avril 2026

Qu’est-ce que cela veut dire ?

Hameçonnage
Un message ou un appel qui imite une vraie organisation pour vous faire donner un mot de passe, un code ou un paiement.
MFA (authentification multifacteur)
Une seconde preuve d’identité en plus du mot de passe — un code, une application ou une clé de sécurité. Les méthodes résistantes au hameçonnage sont les clés et les passkeys.
Exfiltration
La copie de données hors d’un système vers un emplacement contrôlé par l’attaquant.
Identifiants
Un couple identifiant / mot de passe, ou la clé équivalente utilisée par une application pour se connecter.