Après les impôts, au tour de l’Éducation nationale d’être piratée

Introduction

Qui pourra stopper l’hémorragie ? À quelques semaines de la rentrée scolaire, l’Éducation nationale annonce avoir elle aussi été victime d’un piratage, a priori attribué au même groupe de pirates que la Direction générale des finances publiques (DGFiP) en fin de semaine dernière. Une crise de confiance pour les usagers (particuliers et professionnels), doublée d’un défi sécuritaire pour les institutions qui gèrent les données sensibles de millions de citoyen·nes. L’attaque souligne une vérité brutale : malgré les investissements, la « dette technique » des systèmes hérités de l’administration publique reste un terrain de jeu propice à la cybercriminalité.

ZeroBytes expose les secrets de l’Éducation nationale et des impôts

Le groupe de pirates identifié sous le pseudonyme ZeroBytes a revendiqué un coup d’éclat majeur. En plus de l’attaque contre les impôts, les pirates affirment avoir volé des informations personnelles concernant plusieurs millions d’élèves et des dizaines de milliers d’enseignants. Le Monde rapporte que les pirates auraient « absorbé 346 millions de lignes » de données lors d’une intrusion qui se serait déroulée il y a quelques semaines. L’échantillon publié contient des coordonnées postales, électroniques et téléphoniques de parents et d’élèves, ainsi que des appréciations des enseignants, touchant particulièrement les académies de Créteil et de Versailles.

Cette offensive révèle une stratégie de « test et massification ». Selon Amélie Verdier, directrice générale des Finances publiques, l’attaquant a « d’abord fait des tests manuels qu’il a ensuite massifiés, en restant sous les seuils de détection ». L’idée sous-jacente est de contourner les systèmes de surveillance en imitant des comportements légitimes avant de procéder à l’exfiltration des données jugées d’intérêt. Pour les acteurs de l’État, c’est un signal d’alarme : les mesures de sécurité classiques sont désormais insuffisantes face à des pirates capables de rester, pour citer ZeroBytes, « infiltrés sous vos yeux ».

Pour les victimes potentielles, il faudra faire preuve d’une vigilance accrue à l’usurpation d’identité et au phishing ciblé. Pour les enseignants, la publication de leurs adresses professionnelles et personnelles représente une menace sécuritaire concrète.

Un État en pleine mutation face à l’obsolescence technique

Face à cette crise, la réaction du gouvernement est immédiate, mais souligne des lacunes structurelles. Le ministre de l’Action et des Comptes publics, David Amiel, a annoncé que l’authentification forte devrait être généralisée à l’ensemble des agents de Bercy « d’ici la fin de l’année ». La stratégie repose désormais sur une défense active : « J’ai demandé à ce qu’on se teste nous-mêmes avec des IA pour nous auto-attaquer et déceler les défaillances », précise le ministre.

Le diagnostic, confié à l’ANSSI et attendu pour septembre, devra établir un nouveau plan de route. Cependant, le défi reste l’ancienneté des systèmes. Bercy admet que le « taux de conformité a doublé depuis 2020 », passant de 25 % à un peu plus de 50 %, ce qui prouve que la moitié des systèmes administratifs sont encore en retard sur les standards de sécurité modernes. Côté Éducation nationale, les syndicats dénoncent un manque de transparence et des « défaillances d’accompagnement » après chaque nouvelle fuite de données.

D’après la dernière enquête du fournisseur de VPN Surfshark, la France est le deuxième pays le plus vulnérable aux cyberattaques dans le monde. Une fragilité qui place une cible dans le dos du pays : pour les pirates, il n’y a qu’à se pencher pour ramasser des données à revendre sur le marché noir.