Le ministère de l’Éducation nationale a annoncé, vendredi 31 juillet 2026, une nouvelle intrusion dans l’un de ses systèmes d’information. Des données personnelles appartenant à un nombre potentiellement important d’agents ont pu être copiées. Il s’agit du troisième incident de cybersécurité rendu public par le ministère depuis le mois de mars.
Un compte professionnel usurpé pendant la nuit
L’intrusion s’est produite dans la nuit du 25 juillet 2026. D’après les premières informations communiquées par le ministère, l’attaquant est parvenu à usurper un compte professionnel afin d’accéder au système d’information consacré à la formation des personnels.
Le centre opérationnel de sécurité des systèmes d’information du ministère a été alerté dès le lendemain. L’accès externe au service concerné a alors été suspendu et une cellule de crise a été activée.
Les équipes techniques poursuivent leurs investigations afin de comprendre le déroulement exact de l’attaque, mais aussi de vérifier si d’autres applications ont pu être affectées.
Jusqu’à 25 ans de données potentiellement exposées
Le périmètre de cette nouvelle fuite pourrait être large. Les informations susceptibles d’avoir été exfiltrées concernent les agents ayant exercé dans une académie depuis 2001.
Les données comprennent des éléments d’identité ainsi que des informations professionnelles, comme le statut et la fonction de l’agent. Pour une partie des personnes concernées, des adresses postales, des numéros de téléphone et des numéros de sécurité sociale pourraient également avoir été accessibles.
À ce stade, le ministère n’a communiqué aucun chiffre précis. Il évoque seulement un « nombre important » d’agents et cherche encore à déterminer combien de dossiers ont réellement été consultés ou copiés. Il serait donc prématuré de présenter l’ensemble des personnels enregistrés dans le système comme des victimes confirmées.
Le ministère précise par ailleurs que cette application ne contenait ni coordonnées bancaires, ni mots de passe, ni informations relatives aux élèves.
Trois incidents révélés depuis le mois de mars
Cette nouvelle cyberattaque intervient après deux affaires importantes rendues publiques au printemps.
Cyberattaque contre l’Éducation nationale : des données d’élèves piratées
En mars 2026, environ 243 000 agents, stagiaires ou titulaires, avaient été touchés par une fuite issue du système COMPAS. L’intrusion avait également été réalisée grâce à l’usurpation d’un compte externe. Les données dérobées comprenaient notamment des identités, des coordonnées et des périodes d’absence, sans information médicale.
Le 14 avril, le ministère avait ensuite confirmé une fuite de données concernant des élèves et liée à ÉduConnect. L’attaquant avait pu récupérer des noms, des identifiants, des établissements, des classes et, dans certains cas, des adresses électroniques ou des codes d’activation.
Une précision chronologique s’impose toutefois. L’attaque liée à ÉduConnect avait eu lieu à la fin de l’année 2025, même si elle n’a été officiellement annoncée qu’en avril 2026. L’affaire du 25 juillet constitue donc le troisième incident majeur révélé en quelques mois, mais pas nécessairement la troisième intrusion réalisée durant cette seule période.
L’usurpation de comptes au cœur des attaques
Les trois affaires présentent un point commun préoccupant : l’utilisation frauduleuse d’un compte autorisé. Une fois les identifiants récupérés ou l’identité numérique d’un utilisateur compromise, l’attaquant peut apparaître comme un utilisateur légitime aux yeux du système.
Cela ne permet pas encore de déterminer si l’incident du 25 juillet résulte d’un hameçonnage ( Phishing ), d’un logiciel malveillant ou d’une autre méthode. Le ministère n’a pas non plus précisé si le compte concerné bénéficiait d’une double authentification.