Cyberattaque sur ÉduConnect : LFI exige une commission d’enquête, le gouvernement traîne sur NIS2

Le 14 avril 2026 ^[1], le ministère de l’Éducation nationale reconnaît une cyberattaque ciblée ^[2] ayant entraîné l’exfiltration de données personnelles d’élèves via ÉduConnect ^[3]. Le nombre exact reste « en cours d’évaluation » ^[4]. Le groupe cybercriminel DumpSec ^[5], lui, revendique la mise en vente d’une base touchant plus de 3,5 millions d’élèves ^[6] et 7,2 millions de bulletins scolaires ^[7]. Le ministère n’a pas confirmé ces chiffres ^[8].

LES ENJEUX

Une commission d'enquête réclamée à l'Assemblée

LFI a déposé une proposition de résolution pour enquêter sur les cyberattaques visant les établissements scolaires et universitaires.

NIS2: environ 21 mois de retard de transposition

La France n'a toujours pas transposé la directive européenne sur la cybersécurité, attendue avant le 17 octobre 2024.

Une série de fuites au vecteur commun

ÉduConnect, COMPAS, UNSS: trois incidents majeurs en moins d'un an, tous liés à l'usurpation d'un compte légitime.

L'absence de double authentification

Aucune réponse publique du ministère sur l'absence de protection renforcée avant l'incident, alors que l'article 32 RGPD l'exige.

Cinq mois de silence face à l'article 33 RGPD

Entre la détection en décembre 2025 et l'annonce publique en avril 2026, les familles n'ont pas été informées malgré l'obligation de notification sous 72h.

L’intrusion remonte à fin 2025 ^[9]. Un attaquant a usurpé l’identité du compte d’un personnel habilité ^[10], puis exploité une faille de sécurité dans un service annexe à ÉduConnect, identifiée en décembre 2025 ^[11] et corrigée depuis ^[12]. Sauf que l’attaquant avait eu le temps de télécharger des données au-delà de l’établissement initialement visé ^[13].

Une fuite de plus, une fuite de trop

Ce n’est pas un incident isolé. Le 23 mars 2026 ^[14], les données de 243 000 enseignants ^[15] ont été exfiltrées du système COMPAS ^[16], dédié à la gestion des stagiaires. Même vecteur d’attaque: usurpation d’un compte ^[17]. Identité, adresse, numéro de téléphone, périodes d’absence: tout a fini diffusé sur le dark net ^[18].

À l’automne dernier, l’Union nationale du sport scolaire s’était fait pirater son intranet ^[19]: 65 Go de données sensibles ^[20], dont 1 557 000 photos d’élèves ^[21]. En 2023, plus de 1 000 établissements scolaires avaient déjà été touchés par des cyberattaques ^[22]. Selon l’ANSSI ^[23], le secteur de l’éducation a représenté 38 % des attaques par rançongiciel cette année-là ^[24]. En 2025, sur 1 366 incidents ^[25] signalés à l’agence, 34 % concernaient l’éducation et la recherche ^[26].

Un dénominateur commun: le compte usurpé

Trois incidents, un même mode opératoire, toutes liées à l’usurpation d’un compte: à chaque fois, l’attaquant entre par la porte d’un compte légitime, sans avoir à briser le moindre verrou cryptographique. ÉduConnect en avril 2026, COMPAS en mars 2026, l’UNSS à l’automne précédent: la faille technique de décembre 2025 ^[11] n’a fait qu’élargir le butin une fois la porte ouverte par l’usurpation ^[10]. Sur COMPAS, même scénario: un compte volé, exfiltration massive ^[17]. Le point commun n’est pas un bug isolé; c’est l’absence d’une politique transversale de second facteur d’authentification sur des systèmes qui manipulent pourtant des données personnelles à grande échelle. La gouvernance cyber du ministère, éclatée entre directions et opérateurs, paie ici le prix d’une approche en silos.

Ce que dit le droit: RGPD, Code pénal, et silence ministériel

L’affaire n’est pas qu’un incident technique: elle se déploie dans un cadre juridique que peu de communiqués officiels prennent la peine de rappeler. L’article 323-1 du Code pénal punit l’accès frauduleux à un système de traitement automatisé de données de deux ans d’emprisonnement et 60 000 euros d’amende, peines portées à cinq ans et 150 000 euros lorsque l’attaque entraîne la modification ou l’extraction de données - ce qui est précisément le cas ici. L’article 323-3, qui vise l’extraction frauduleuse de données, prévoit également cinq ans d’emprisonnement et 150 000 euros d’amende.

Côté responsable de traitement, c’est l’article 32 du RGPD qui s’applique: il impose au responsable de mettre en œuvre des « mesures techniques et organisationnelles appropriées » pour garantir un niveau de sécurité adapté au risque, en particulier lorsque le traitement concerne des mineurs. L’absence de double authentification sur un service desservant les espaces numériques de millions de familles ^[27] interroge frontalement cette obligation. En cas de manquement, l’article 83 du RGPD permet à la CNIL de prononcer des amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial - plafond peu opérant pour un ministère, mais qui rappelle l’ordre de grandeur du standard européen.

LFI dépose une commission d’enquête

Les députés du groupe La France insoumise - Nouvelle Union populaire écologique et sociale ^[28] ont déposé une proposition de résolution tendant à la création d’une commission d’enquête sur les cyberattaques visant les établissements scolaires et les universités ^[29]. Le texte a été enregistré à la Présidence de l’Assemblée nationale le 12 mars 2025 ^[30]. Mission de la commission: évaluer l’efficacité des mesures déjà prises et identifier les failles persistantes ^[31].

LFI a également utilisé son droit de tirage annuel pour une autre commission d’enquête, sur l’accumulation et la fuite de données personnelles en France ^[32]. Objectif assumé: interroger les acteurs sur les moyens de sécurisation ^[33] et comprendre comment les leaks peuvent avoir lieu ^[34]. Les cas se sont multipliés: CPAM ^[35], Parcoursup ^[36], et plus récemment l’ANTS, l’agence nationale des titres sécurisés ^[37].

Sébastien Lecornu, Premier ministre ^[38], devait se rendre à l’ANTS pour évoquer ces fuites. Du côté de la majorité présidentielle et du MoDem, les députés Éric Bothorel ^[39] et Philippe Latombe ^[40] s’alarment régulièrement du sujet. Comprendre: ce n’est plus un combat d’opposition. C’est un constat partagé.

On se souvient que la fuite n’est pas une spécificité française. Selon plusieurs sources, la plateforme américaine PowerSchool, utilisée par des milliers de districts scolaires nord-américains, a subi début 2025 une exfiltration touchant des millions d’élèves et d’enseignants aux États-Unis et au Canada. Au Royaume-Uni également, plusieurs établissements scolaires ont été frappés par rançongiciel ces dernières années, avec publication en ligne de données d’élèves mineurs. La fragilité du secteur éducatif est structurelle, et continentale.

NIS2: environ 21 mois de retard

Le projet de loi Résilience ^[41], qui doit transposer la directive européenne NIS2 sur la sécurisation informatique, devrait arriver en hémicycle en juillet 2026 ^[42]. La France accuse quasiment deux ans de retard ^[43] - environ 21 mois entre la date-butoir et l’examen prévu. Cette échéance, fixée par Bruxelles au 15 octobre 2024 ^[44], n’a pas été tenue malgré une adoption au Sénat en première lecture ^[45]. La commission spéciale de l’Assemblée a validé le texte à l’unanimité le 17 septembre 2025 ^[46]. Depuis, plus rien.

NIS1 ne concernait que 300 opérateurs d’importance vitale ^[47]. NIS2 impacte plus de 15 000 entités ^[48], dont les grandes collectivités à partir de 30 000 habitants ^[49]. L’enjeu est massif. Anne Le Hénanff, ministre du numérique ^[50], donne des assurances régulières. Le calendrier dit autre chose.

L’experte cyber Rayna Stamboliyska ^[51] pointe le risque juridique du retard: « Si une victime de fuite de données assignait l’État, un juge judiciaire prendra la décision d’interpréter NIS2. Un juge deviendrait ainsi responsable de l’application du texte plutôt que les parlementaires. » ^[52]

L’angle mort: pourquoi pas de double authentification?

La question, soulevée publiquement, reste sans réponse du ministère: « pourquoi la double authentification n’était-elle pas déjà en place? » ^[53]. ÉduConnect dessert les espaces numériques de millions de familles françaises ^[27]. Le ministère annonce engager le déploiement d’une authentification à double facteur ^[54]. Après la fuite. Pas avant. Or, l’article 32 du RGPD considère l’authentification forte comme l’une des mesures attendues lorsque le risque le justifie - et il est difficile d’imaginer risque plus élevé qu’une base de données scolaires de mineurs.

Cinq mois de silence: que dit l’obligation de notification?

Près de cinq mois se sont écoulés entre l’identification de la faille en décembre 2025 ^[11] et l’annonce publique du 14 avril 2026 ^[55]. L’article 33 du RGPD impose pourtant au responsable de traitement de notifier toute violation de données à caractère personnel à l’autorité de contrôle « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance ». L’article 34 exige, lui, une communication aux personnes concernées lorsque la violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés.

Le ministère affirme avoir saisi la CNIL ^[56], sans communiquer la date exacte de cette notification. Mais les familles, elles, n’ont rien su pendant des mois. Des mois durant lesquels les codes d’activation, identifiants ÉduConnect et coordonnées d’élèves circulaient potentiellement sur le dark net - sans que les parents puissent changer de mot de passe, surveiller un usage frauduleux ou simplement être prévenus. La logique de l’article 34 RGPD est précisément de permettre aux victimes de prendre des mesures de protection. Ici, cette possibilité leur a été retirée par le silence.

La voix du ministère

Édouard Geffray, ministre de l’Éducation nationale ^[57], n’a pas commenté publiquement les revendications de DumpSec. Le communiqué officiel se borne à rappeler les mesures techniques: cellule de crise activée ^[58], accès suspendu ^[59], ANSSI ^[60] et CNIL ^[56] saisies, plainte déposée ^[61]. Le ministère affirme prendre l’incident « avec la plus grande gravité » et rester « pleinement mobilisé pour garantir la sécurité des systèmes d’information et accompagner les familles » ^[62]. Formule rituelle. On l’avait déjà lue, mot pour mot, après la fuite COMPAS de mars 2026 ^[63].

Ce que les sources ne disent pas

Aucune source consultée ne précise les sanctions encourues par les responsables de la chaîne de sécurité du ministère. Aucune ne quantifie le budget cybersécurité de l’Éducation nationale. Aucune n’indique le nom du prestataire ni la nature exacte du « service annexe » à ÉduConnect ^[64]. Le périmètre des données concernées reste, selon le ministère lui-même, en cours de circonscription ^[65]. Le nombre de victimes reste « le principal trou noir » ^[66]. À ce stade de l’enquête, ce qu’on ignore pèse plus lourd que ce qu’on sait.

► Lire aussi: Rillieux-la-Pape: l'opposition accuse le maire après les violences urbaines

Le projet de loi arrivera, peut-être, en juillet 2026 ^[42]. La commission d’enquête LFI sera, peut-être, votée. Entre-temps, les bases continuent de fuiter. On connaît la chanson.