L’article en bref
- Le ministère de l'Éducation nationale a confirmé une intrusion dans la nuit du 25 juillet 2026, via un compte professionnel usurpé, dans une application de gestion de la formation des personnels.
- Officiellement : données d'agents ayant exercé en académie depuis 2001 (identité, fonctions, et pour une partie d'entre eux adresses, téléphones et numéros de sécurité sociale).
- Selon le ministère, « aucune donnée bancaire, aucun mot de passe et aucune donnée concernant des élèves » n'ont été compromis dans cet incident.
- Des publications du 17 août revendiquent la mise en ligne des données et la détention de données d'élèves : le ministère poursuit ses expertises, rien n'est confirmé.
- Le chiffre de « 346 millions de lignes » relève de la seule revendication des pirates ; des lignes ne sont pas des personnes.
- Les communiqués ne citent jamais l'ENT ni EduConnect ; changer les mots de passe scolaires reste une simple précaution raisonnable.
Officiellement, l'intrusion du 25 juillet 2026 a touché une application de gestion de la formation des personnels : identité, fonctions et éléments professionnels des agents ayant exercé en académie depuis 2001, avec, pour une partie d'entre eux, adresses, téléphones et numéros de sécurité sociale. Selon le ministère : ni donnée bancaire, ni mot de passe, ni donnée d'élèves. Des publications revendiquent depuis le 17 août des données d'élèves : l'expertise est en cours.
Faits et sources vérifiés le 21 août 2026 à 18 h 33.
Ce qui est confirmé, ce qui ne l'est pas
Confirmé
Le ministère de l'Éducation nationale a rendu publique, le 31 juillet 2026, « l'intrusion frauduleuse dont il a été victime dans la nuit du 25 juillet et l'exfiltration de données à caractère personnel qu'elle a pu entraîner ». L'attaquant a utilisé un compte professionnel usurpé pour accéder à une application de gestion de la formation des personnels. L'accès a été suspendu dès le 26 juillet. Le système contenait l'identité, les fonctions et des éléments professionnels des agents ayant exercé en académie depuis 2001. Pour une partie d'entre eux s'y ajoutaient adresses postales, numéros de téléphone et numéros de sécurité sociale. Le ministère a déclaré qu'« aucune donnée bancaire, aucun mot de passe et aucune donnée concernant des élèves » n'ont été compromis dans cet incident.
Le 18 août 2026, un second communiqué a confirmé une plainte contre X auprès du parquet de Paris, la saisine de l'ANSSI et de la CNIL, et une enquête judiciaire en cours. Le ministère indique que « l'ensemble des personnels susceptibles d'être concernés ont été informés individuellement ».
Non confirmé
Des publications du 17 août 2026 font état de la mise en ligne des données et revendiquent la détention de données relatives à des élèves. Le ministère répond qu'il « poursuit ses expertises techniques afin d'établir la nature exacte et l'étendue des données exfiltrées ». Au 21 août, la présence de données d'élèves reste donc une revendication, ni confirmée ni formellement démentie.
Le chiffre de 346 millions de « lignes », comme les volumes d'élèves et de personnels avancés par les pirates, ne figurent dans aucune source officielle. Ces « lignes » sont des enregistrements bruts, non dédupliqués : elles ne correspondent pas à un nombre de personnes. La revendication d'« empreintes cryptographiques de mots de passe » n'est pas davantage confirmée. Nous écartons ces chiffres et nous en tenons aux faits établis.
Comment savoir si mon enfant est concerné ?
À ce stade, vous ne pouvez pas le savoir, car personne ne le sait officiellement. La présence de données d'élèves relève de la revendication, et le ministère l'examine. Sa position est claire : si d'autres personnes que les personnels s'avéraient concernées, elles seraient informées individuellement, et « s'il devait s'agir d'élèves, leurs représentants légaux le seraient également ». Cette information individuelle découle de l'article 34 du RGPD, qui l'impose lorsque la violation est susceptible d'engendrer un risque élevé pour les personnes.
Concrètement : si vous ne recevez aucun message officiel, aucun élément ne permet d'affirmer que votre enfant est touché. Méfiez-vous, à l'inverse, de tout message non sollicité prétendant vous « confirmer » que votre enfant figure dans la fuite, surtout s'il vous invite à cliquer ou à fournir des informations. Ce type de message exploite l'actualité, pas un fichier vérifié.
Données exposées : quels risques, quelles actions ?
| Donnée | Risque d'exploitation | Action utile |
|---|---|---|
| Identité, fonctions, parcours professionnel des agents | Faux messages « académie » ou « ministère » très crédibles, ciblant identifiants et coordonnées bancaires | Ne jamais communiquer identifiants ou mots de passe ; signaler tout message suspect aux autorités académiques |
| Adresses postales et numéros de téléphone (une partie des agents) | SMS frauduleux, faux appels, démarchage ciblé | Transférer les SMS suspects au 33700 ; ne jamais rappeler un numéro fourni par le message |
| Numéro de sécurité sociale (une partie des agents) | Usurpation d'identité, démarches administratives frauduleuses | Surveiller ses relevés et son compte ameli ; plainte en cas d'usurpation avérée (article 226-4-1 du Code pénal) |
| Données d'élèves (revendiquées, non confirmées) | Aucun risque établi à ce jour ; hameçonnage exploitant l'inquiétude des familles | Attendre l'information officielle ; se méfier des messages « votre enfant est concerné » |
Faut-il changer les mots de passe scolaires (ENT, EduConnect) ?
Un point factuel d'abord : les communiqués du ministère ne citent jamais l'ENT ni EduConnect. Officiellement, aucun mot de passe n'a été compromis dans cet incident. La revendication d'empreintes de mots de passe issues d'annuaires internes reste, elle, non confirmée. Il serait donc inexact d'écrire que des mots de passe d'ENT circulent.
Changer le mot de passe d'un compte scolaire reste néanmoins une précaution raisonnable, qui coûte quelques minutes. Elle se justifie surtout si le même mot de passe sert ailleurs : la CNIL recommande, dans ses conseils aux victimes de violations de données, d'éviter l'utilisation d'un même mot de passe pour différents services. Choisissez un mot de passe propre à chaque service, et activez la double authentification quand elle existe.
Agents : vos droits, notamment si votre numéro de sécurité sociale est exposé
Les personnels susceptibles d'être concernés ont été informés individuellement, conformément à l'article 34 du RGPD. Si vous avez reçu ce message, conservez-le : il date votre connaissance de l'incident et documentera un éventuel préjudice.
Vous disposez ensuite d'un droit d'accès auprès du ministère, responsable du traitement. L'article 15 du RGPD vous permet d'obtenir la confirmation que vos données sont traitées, les catégories de données concernées et une copie de celles-ci. C'est la voie officielle pour savoir précisément quelles informations vous concernant étaient présentes dans le système touché. Adressez votre demande au délégué à la protection des données du ministère, en justifiant de votre identité.
Si votre numéro de sécurité sociale figure parmi les données exposées, la vigilance prime : ce numéro ne se remplace pas en pratique, et sa protection passe par la surveillance et, en cas d'usurpation, par la plainte. Nous détaillons les risques réels et les démarches dans notre article dédié : numéro de sécurité sociale volé : quels risques et que faire ?. Une indemnisation du préjudice, y compris moral, reste envisageable sur le fondement de l'article 82 du RGPD, à condition de démontrer un dommage et un lien de causalité : la violation seule ne suffit pas. Un avocat en violation de données personnelles peut vous aider à évaluer votre situation. Chaque situation est particulière.
Quels faux messages faut-il s'attendre à recevoir ?
Le scénario le plus probable est celui déjà observé après les incidents de la DGFiP et de SFR : des messages exploitant des données réelles pour paraître légitimes. Un faux courriel « du rectorat » citant votre affectation, un faux SMS « de l'Assurance Maladie », un faux appel « du support informatique » demandant vos identifiants. Le ministère a fixé la règle dans son communiqué du 18 août : il « ne demande jamais par courriel, par téléphone ou par message les identifiants de connexion, les mots de passe ou les coordonnées bancaires ». Tout message qui en demande est frauduleux, quelle que soit sa qualité. Les messages suspects doivent être signalés aux autorités académiques.
Ce mécanisme d'hameçonnage adossé à de vraies données a déjà touché les contribuables cet été : notre article sur le piratage de la DGFiP décrit les mêmes réflexes de vérification.
Chronologie
- Nuit du 25 juillet 2026 : intrusion via un compte professionnel usurpé dans une application de gestion de la formation des personnels.
- 26 juillet 2026 : suspension de l'accès compromis.
- 31 juillet 2026 : le ministère rend l'intrusion publique ; périmètre annoncé : données de personnels, « aucune donnée bancaire, aucun mot de passe et aucune donnée concernant des élèves ».
- 17 août 2026 : publications revendiquant la mise en ligne des données et la détention de données d'élèves.
- 18 août 2026 : second communiqué : plainte contre X au parquet de Paris, saisine de l'ANSSI et de la CNIL, expertises en cours, personnels informés individuellement.
- 21 août 2026 : dernière vérification des faits et sources pour cet article, à 18 h 33.
Questions fréquentes sur le piratage de l'Éducation nationale
Comment savoir si mon enfant est concerné ?
Vous ne pouvez pas le savoir à ce jour : la présence de données d'élèves reste une revendication en cours d'expertise. Si elle se confirmait, le ministère informerait individuellement les représentants légaux des élèves concernés. Sans message officiel, rien ne permet d'affirmer que votre enfant est touché.
Quelles données de personnels ont été volées ?
Selon le ministère : identité, fonctions et éléments professionnels des agents ayant exercé en académie depuis 2001, avec, pour une partie d'entre eux, adresses postales, numéros de téléphone et numéros de sécurité sociale. Ni données bancaires ni mots de passe, selon le communiqué du 31 juillet 2026.
Les mots de passe de l'ENT ont-ils fuité ?
Rien ne le démontre. Les communiqués officiels ne citent jamais l'ENT ni EduConnect, et le ministère indique qu'aucun mot de passe n'a été compromis. La revendication d'empreintes de mots de passe par les pirates n'est pas confirmée.
Faut-il quand même changer les mots de passe scolaires ?
C'est une précaution raisonnable, non une obligation. Elle se justifie surtout si le même mot de passe est réutilisé sur d'autres services. Choisissez un mot de passe unique par service et activez la double authentification quand elle est proposée.
Je suis agent et mon numéro de sécurité sociale est exposé : que faire ?
Ce numéro ne se remplace pas en pratique. Surveillez vos remboursements et votre compte ameli, méfiez-vous des messages invoquant l'Assurance Maladie, conservez toute preuve et déposez plainte en cas d'usurpation avérée (article 226-4-1 du Code pénal, 1 an d'emprisonnement et 15 000 € d'amende).
Comment demander au ministère quelles données me concernent ?
Exercez votre droit d'accès (article 15 du RGPD) auprès du délégué à la protection des données du ministère, en justifiant de votre identité. Vous pouvez obtenir la confirmation du traitement, les catégories de données concernées et une copie de vos données.
Le chiffre de 346 millions de données volées est-il vrai ?
Non confirmé, et trompeur. Ce chiffre provient de la seule revendication des pirates et compte des « lignes » brutes, non dédupliquées : il ne correspond pas à un nombre de personnes. Aucune source officielle ne le valide ; le ministère poursuit ses expertises.
Puis-je être indemnisé ?
Une indemnisation est possible sur le fondement de l'article 82 du RGPD, y compris pour un préjudice moral tel que la crainte d'un usage abusif de vos données. Il faut toutefois démontrer un dommage et un lien de causalité : la violation seule ne suffit pas.
Sources officielles
- Ministère de l'Éducation nationale, communiqué du 18 août 2026 « Incident de sécurité affectant des données détenues par le ministère » – education.gouv.fr
- Ministère de l'Éducation nationale, communiqué initial du 31 juillet 2026 « Incident de sécurité affectant les données de personnels de l'éducation nationale » – education.gouv.fr (contenu recoupé par deux médias spécialisés, le 31 juillet et le 3 août 2026)
- Compte X officiel du ministère, publication du 18 août 2026 – x.com/education_gouv
- Articles 15, 34 et 82 du règlement (UE) 2016/679 (RGPD) – EUR-Lex
- Article 226-4-1 du Code pénal (usurpation d'identité) – Légifrance
- Service-public.gouv.fr, fiche F37944 « Usurpation d'identité » – service-public.gouv.fr
- CNIL, « Violation de données personnelles : conseils en cas de fuite ou de vol de données », 18 mars 2024 – cnil.fr
Sur les obligations d'information des personnes après une fuite, voir aussi notre analyse du cas SFR : sous quel délai une entreprise doit-elle prévenir ses clients ?
Cet article présente l'état du droit et des faits publics à titre d'information générale, tels que vérifiés le 21 août 2026 à 18 h 33. Il ne constitue pas une consultation juridique. Chaque situation est particulière et mérite une analyse dédiée. Contenu conforme aux règles déontologiques de la profession d'avocat.
