- Le ministère de l'Éducation nationale révèle le 14 avril 2026 qu'une cyberattaque a entraîné la fuite de données personnelles d'élèves via EduConnect
- La faille avait été identifiée et corrigée en décembre 2025 — mais exploitée « peu avant sa résolution ». Trois mois de silence
- Selon des sites spécialisés, jusqu'à 3,5 millions de comptes seraient concernés — le ministère n'a pas confirmé ce chiffre
- L'ANSSI et la CNIL ont été saisies — le groupe DumpSec annonce la mise en vente des données
- Deuxième cyberattaque contre le ministère en un mois, après le piratage de 243 000 agents en mars
Le 14 avril 2026, le ministère de l'Éducation nationale a publié un communiqué reconnaissant avoir « été victime d'une cyberattaque ciblée ». La fuite porte sur des données personnelles d'élèves, accessibles via EduConnect — la plateforme utilisée par les familles pour consulter les bulletins scolaires, les emplois du temps et les espaces numériques de travail.
La faille date de fin 2025. Elle a été identifiée en décembre et corrigée. Mais elle avait été « exploitée peu avant sa résolution », selon le ministère. L'annonce publique intervient plus de trois mois après les faits.
Ce que le ministère dit
Le communiqué reste mesuré. Une « faille technique » a permis une « usurpation d'identité ». Des comptes EduConnect « non encore activés » ont été compromis. Le ministère a « procédé à une réinitialisation complète des codes d'accès » et « bloqué » les comptes non distribués. Un mécanisme de double authentification est en cours de déploiement.
Le nombre exact de victimes n'est pas communiqué. Le ministère indique que « le nombre exact est en cours d'évaluation » et que « les investigations se poursuivent afin de circonscrire précisément le périmètre des données concernées ».
L'ANSSI (Agence nationale de la sécurité des systèmes d'information) et la CNIL ont été saisies.
Ce que les spécialistes décrivent
Les sites spécialisés en cybersécurité avancent des chiffres bien plus élevés que ce que le ministère laisse entendre. Selon FrenchBreaches et le Café Pédagogique, jusqu'à 3,5 millions de comptes d'élèves seraient concernés. Parmi les données potentiellement exposées : 7,2 millions de bulletins scolaires, 400 000 rapports ASSR2 (attestation de sécurité routière), et des mots de passe stockés en clair.
Le groupe de pirates DumpSec a annoncé la mise en vente de la base de données. Ces chiffres n'ont pas été confirmés par le ministère.
Ce qui est établi : les victimes sont des mineurs. Leurs données scolaires — notes, appréciations, informations personnelles — circulent potentiellement sur des forums spécialisés.
Trois mois de silence
La faille a été exploitée fin 2025. Identifiée en décembre. Corrigée dans la foulée. Mais le ministère n'a rendu l'information publique que le 14 avril 2026. Trois mois pendant lesquels les familles n'ont pas été informées que les données de leurs enfants avaient été exfiltrées.
Le communiqué justifie ce délai par les « investigations approfondies menées ces derniers jours » qui ont permis « d'établir que l'attaquant a bien pu exfiltrer des données ». Ce délai est conforme aux pratiques habituelles — la CNIL accorde un délai de 72 heures pour la notification, mais l'évaluation de l'ampleur peut prendre des semaines. Reste que trois mois, pour des données de mineurs, posent une question de transparence.
La deuxième attaque en un mois
Ce n'est pas un incident isolé. Le 15 mars 2026, le ministère avait déjà été visé par une cyberattaque distincte, cette fois contre le système COMPAS, dédié à la gestion des enseignants stagiaires. Les données de 243 000 agents avaient été exfiltrées après l'usurpation d'un compte externe.
Deux systèmes différents, deux attaques en un mois, un même ministère. Le premier visait les enseignants. Le second vise les élèves. L'Éducation nationale, qui gère les données de 12 millions d'élèves et d'un million d'agents, est devenue une cible.
Ce que les parents doivent faire
Si votre enfant dispose d'un compte EduConnect, trois vérifications s'imposent :
- Changer le mot de passe d'EduConnect, même si le ministère dit avoir réinitialisé les comptes compromis. Par précaution.
- Vérifier que ce mot de passe n'est pas utilisé ailleurs — sur des jeux en ligne, des réseaux sociaux, une messagerie. Si le même mot de passe a été réutilisé, le changer partout.
- Surveiller les tentatives de phishing dans les semaines à venir. Des données scolaires précises (nom, classe, établissement) permettent de construire des messages ciblés crédibles.
Le ministère met à disposition un formulaire de signalement sur education.gouv.fr. La vigilance face aux arnaques reste la meilleure protection quand les données sont déjà dans la nature.
