En ce mois d’août 2026, le groupe de cybercriminels français ZeroBytes refait parler de lui. Après avoir ciblé la Direction générale des finances publiques (DGFiP) fin juin, il s’attaque désormais au ministère de l’Éducation nationale. Les données personnelles de 1,22 million d’élèves4,35 millions de personnels et 602 000 comptes académiques seraient concernées.
Cette nouvelle attaque soulève des questions sur la cybersécurité des institutions publiques et les risques liés à l’exfiltration de données sensibles. Décryptage d’une affaire qui pourrait avoir des conséquences majeures pour les victimes potentielles.
Une attaque d’une ampleur inédite
Selon les revendications de ZeroBytes, relayées par le site spécialisé FrenchBreaches le groupe aurait exfiltré environ 43 gigaoctets de données répartis dans quelque 2 500 fichiers. Ces données, représentant 346,2 millions de lignes brutes couvriraient une période de plus de vingt ans, du début des années 2000 à juillet 2026.
Les fichiers concerneraient des informations personnelles telles que des identités, dates de naissance, adresses postales et électroniques, numéros de téléphone, informations scolaires ou administratives, et même des empreintes cryptographiques de mots de passe. Des données relatives à des parents et responsables légaux auraient également été dérobées.
Les systèmes visés
D’après FrenchBreaches, les données revendiquées proviendraient notamment de l’académie de Créteil (Val-de-Marne) d’applications recouvrant l’ensemble des 33 académies françaises Des exports d’I-Prof la plateforme destinée aux enseignants, figureraient également parmi les fichiers.
ZeroBytes affirme avoir récupéré un accès VPN lui permettant d’atteindre plusieurs systèmes internes. L’exfiltration aurait duré plusieurs jours, avant d’être bloquée. Le ministère de l’Éducation nationale n’a pas encore confirmé officiellement l’implication de ZeroBytes ni l’ampleur des données volées.
Les risques et conséquences
Les données collectées durant ces attaques pourraient être exploitées pour mener des campagnes de phishing ciblées ou des opérations d’usurpation d’identité. Ces risques sont d’autant plus sensibles qu’ils concernent également des mineurs et permettent de relier des élèves à leurs responsables légaux.
Le ministère de l’Éducation nationale avait annoncé le 31 juillet avoir été victime d’une intrusion frauduleuse dans l’un de ses systèmes d’information. La compromission serait survenue dans la nuit du 25 juillet et aurait été détectée dès le lendemain. Les accès externes au système concerné avaient été coupés, une cellule de crise déclenchée et des investigations lancées.
Une plainte avait également été déposée, tandis que l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et la CNIL avaient été saisies. Fin juillet, le ministère indiquait que l’incident qu’il avait identifié concernait un système dédié à la formation des personnels, précisant qu’aucune information relative aux élèves n’était stockée dans ce système précis.
Un mode opératoire sophistiqué
Les investigations conduites depuis le 12 août dessinent un mode opératoire inhabituel. Aucune requêtage massif, aucun transfert susceptible de saturer les journaux d’événements. Les données quittent le système par petites quantités, parfois de manière automatisée, selon un rythme suffisamment proche d’un usage ordinaire pour échapper aux seuils d’alerte.
Les systèmes de supervision recherchent des ruptures de comportement. ZeroBytes s’est appliqué à ne jamais en produire. Amélie Verdier, directrice générale de la DGFiP, souligne que les compromissions de comptes ne constituent pas un événement exceptionnel, mais que leur exploitation a changé de méthode.
Le pirate revendique une seconde extraction visant le Serveur professionnel de données cadastrales (SPDC). Elle porterait sur 252 149 lignes représentant plus de 2 millions de propriétaires. ZeroBytes affirme avoir interrompu lui-même l’extraction cadastrale, soulignant que récupérer l’ensemble de la base aurait demandé plusieurs mois supplémentaires.
Un groupe actif et organisé
ZeroBytes ne revendique aucun objectif politique. Dans un échange avec France Info, le cybercriminel affirme rechercher un bénéfice financier. Il dit opérer depuis un pays sans accord d’extradition avec la France. Son pseudonyme apparaît déjà dans plusieurs intrusions revendiquées contre des organisations françaises, parmi lesquelles Intermarché, la Fédération française de handball ou une société de jeux vidéo.
La DGFiP s’ajoute donc à une liste de cibles choisies moins pour leur activité que pour la valeur des informations hébergées. Les données fiscales se revendent cher parce qu’elles permettent d’affiner une fraude. Une adresse postale, un revenu fiscal de référence, un quotient familial ou un taux de prélèvement donnent immédiatement de la crédibilité à un faux courrier, un appel ou un courriel présenté comme émanant de l’administration.
Benoît Grünewald, expert cybersécurité chez ESET, évoque également le risque de démarchages physiques réalisés par de faux agents. L’expérience récente invite à prendre cette menace au sérieux. Les données volées à la Fédération française de tir avaient servi, quelques mois plus tôt, à cibler des propriétaires d’armes avant plusieurs vols.
Les fichiers de la DGFiP offrent la même matière première, à savoir des informations assez précises pour personnaliser une fraude avant même le premier contact.
