Le ministère de l’Éducation nationale confirme une nouvelle intrusion informatique visant, cette fois, ses propres personnels. Dans la nuit du 25 juillet 2026, un compte professionnel compromis a permis à un attaquant d’accéder au système d’information consacré à la formation des agents.
Le périmètre potentiel est considérable : les données d’identité et les informations professionnelles de tous les agents ayant exercé en académie depuis 2001 étaient présentes dans l’environnement concerné. Pour une partie d’entre eux, des adresses postales, numéros de téléphone et numéros de Sécurité sociale peuvent également avoir été accessibles.
Le système de formation des personnels compromis
L’Éducation nationale emploie des enseignants, personnels administratifs, accompagnants, agents d’encadrement et professionnels répartis dans les académies françaises. Le système visé sert à la gestion de la formation de ces personnels.
L’attaque ne concerne donc pas directement un établissement scolaire isolé, mais un environnement ministériel centralisant des informations sur des agents en activité ou ayant travaillé dans une académie au cours des vingt-cinq dernières années.
Un compte professionnel détourné pendant la nuit
L’intrusion aurait débuté après la compromission d’un compte professionnel. L’attaquant aurait ensuite utilisé cet accès légitime pour pénétrer dans l’application, sans avoir nécessairement besoin d’exploiter une vulnérabilité technique complexe.
Ce scénario peut résulter d’un mot de passe dérobé par hameçonnage, réutilisé sur un autre service ou récupéré par un logiciel malveillant. L’absence de double authentification sur le compte concerné n’a toutefois pas été confirmée publiquement.
Quelles données sont potentiellement concernées ?
Selon les informations communiquées par le ministère, l’attaquant a pu accéder aux catégories suivantes :
- nom et prénom ;
- informations d’identité ;
- fonction et données professionnelles ;
- historique lié à l’exercice en académie ;
- adresse postale pour certains agents ;
- numéro de téléphone pour certains agents ;
- numéro de Sécurité sociale pour une partie des personnels.
Le nombre exact de personnes concernées n’est pas encore communiqué. La formule employée par le ministère indique que l’ensemble des agents enregistrés depuis 2001 est potentiellement exposé, sans établir que toutes les fiches ont effectivement été consultées ou téléchargées.
Aucun mot de passe, RIB ou dossier d’élève dans ce système
Le ministère précise que l’environnement compromis ne contenait aucun mot de passe, aucune coordonnée bancaire et aucune information relative aux élèves.
La présence possible de numéros de Sécurité sociale reste néanmoins particulièrement sensible. Associé à une identité, une adresse et une fonction, le NIR peut renforcer des dossiers d’usurpation d’identité ou des fraudes administratives.
L’accès externe coupé dès le lendemain
Le Centre opérationnel de sécurité des systèmes d’information du ministère a été alerté le 26 juillet. L’accès externe à l’application concernée a été suspendu et une cellule de crise a été activée.
Des vérifications ont également été lancées sur les autres systèmes du ministère afin de rechercher une éventuelle propagation, des comptes supplémentaires compromis ou des accès persistants laissés par l’attaquant.
L’ANSSI et la CNIL saisies
L’Éducation nationale indique avoir déposé plainte et saisi l’ANSSI ainsi que la CNIL. Les personnels dont les données sont effectivement concernées doivent être informés individuellement lorsque le périmètre de l’incident aura été précisé.
Faux messages RH et fraudes administratives
Les informations professionnelles peuvent permettre à un fraudeur de se présenter comme un rectorat, un service de ressources humaines, un organisme de formation ou un support informatique. La connaissance de la fonction et de l’académie rend ces communications particulièrement crédibles.
- fausse convocation à une formation ;
- faux message du rectorat ou des ressources humaines ;
- demande frauduleuse de mise à jour d’un dossier administratif ;
- vol d’identifiants professionnels ;
- usurpation d’identité utilisant un numéro de Sécurité sociale ;
- faux changement de coordonnées bancaires ou de mutuelle.
Troisième incident majeur révélé en quelques mois
Cette intrusion survient après deux autres incidents confirmés en 2026. En mars, les données d’environ 243 000 agents avaient été exfiltrées depuis le système COMPAS, consacré à la gestion des personnels stagiaires. En avril, une attaque distincte avait exposé des informations relatives à des élèves via un service associé à ÉduConnect.
Pour cette nouvelle attaque, l’intrusion et l’accès possible aux données sont officiellement reconnus. Les investigations doivent encore déterminer combien de fiches ont réellement été consultées ou copiées par l’attaquant.