Evalang piraté : 3 millions d’utilisateurs exposés, l’Éducation nationale encore touchée

La quatrième brèche en six mois. Le groupe de hackers ‘111’ ^[1] a revendiqué début mai 2026 le piratage d’Ev@lang ^[2], plateforme d’évaluation linguistique conçue par France Éducation international ^[3], organisme certificateur reconnu pour sa conception et sa diffusion de diplômes de langue française ^[3]. Selon la revendication, plus de 3 millions de personnes ^[4] sont potentiellement concernées: environ 2,5 millions en France ^[5] et 500 000 hors de France ^[6].

LES ENJEUX

Plus de 3 millions d'utilisateurs exposés sur dix ans

La revendication porte sur des données collectées entre 2016 et 2026, dont mots de passe, adresses postales et téléphones - un éventail particulièrement sensible.

Quatrième brèche éducative en six mois

GAEL, COMPAS, EduConnect, désormais Ev@lang: l'écosystème scolaire français est ciblé de façon répétée depuis janvier 2026.

Silence officiel de France Éducation international

À la date de publication, aucune communication officielle sur l'incident Ev@lang, contrairement à la réaction rapide lors de l'attaque GAEL en janvier.

Mineurs en première ligne

Ev@lang est utilisé pour le test obligatoire des élèves de 3e, exposant une population mineure à un risque démultiplié d'usurpation et de phishing ciblé.

Cadre RGPD et Code pénal: 72h pour notifier, 5 ans pour les attaquants

Articles 33-34 RGPD pour la notification; articles 323-1, 323-3 et 226-17 du Code pénal encadrent la responsabilité des attaquants comme du responsable de traitement.

La revendication daterait du 25 mars 2026 ^[7], avec une diffusion publique observée en mai 2026 ^[8]. Les données exposées couvriraient une période allant de 2016 à 2026 ^[9], soit dix années d’historique d’utilisateurs ayant passé un test sur la plateforme. La majorité des informations personnelles apparaîtrait principalement à partir de 2019 ^[10].

Une plateforme au cœur du dispositif scolaire français

Ev@lang n’est pas un service annexe. Conçu par France Éducation international, qui revendique plus de 35 années d’expérience ^[12] et plus de 700 000 apprenants évalués chaque année ^[13], le test évalue le français, l’anglais et l’arabe ^[14] sur 12 niveaux ^[15] alignés sur le Cadre européen commun de référence pour les langues ^[16]. Pour la version arabe, France Éducation international s’est associé à l’Institut du Monde arabe de Paris ^[17].

La plateforme s’inscrit dans le parcours scolaire officiel et le test, entièrement en ligne, dure entre 7 et 35 minutes maximum ^[18].

Des champs de données d’une gravité rare

Selon l’alerte publiée par FrenchBreaches, la fuite revendiquée porte sur un éventail de champs particulièrement sensible: civilité ^[19], nom ^[20], prénom ^[21], adresse postale ^[22], code postal ^[23], ville ^[24], pays ^[25], téléphone ^[26], adresse email ^[27], identifiant utilisateur ^[28] et mot de passe ^[29]. S’y ajoutent les dates d’inscription ^[30], du premier test ^[31] et de fin de test ^[32].

La présence de mots de passe dans la liste constitue le point le plus alarmant. Combinée à l’identifiant utilisateur, à l’adresse email et au téléphone, elle ouvre la voie à des compromissions en cascade sur tous les services où ces identifiants auraient été réutilisés.

Des mineurs surexposés

Une part significative des utilisateurs Ev@lang sont des élèves ayant passé le test en collège. La fuite expose donc une population mineure à un risque démultiplié. Comme le souligne un expert cité par le Café pédagogique, « le fait que cette fuite concerne majoritairement des mineurs amplifie fortement les risques, tels l’usurpation d’identité, le phishing ciblé » ^[33] se faisant passer pour un établissement scolaire, ainsi que l’ingénierie sociale fondée sur le parcours scolaire de l’enfant.

Selon plusieurs sources, le RGPD considère les données de mineurs comme méritant une protection spécifique: son considérant 38 rappelle que les enfants « peuvent être moins conscients des risques, des conséquences et des garanties concernées ». Cette protection renforcée pèse sur le responsable de traitement: sécurité par défaut, minimisation des données, et information adaptée. Les données collectées dès 2016 ^[9] sur des utilisateurs alors mineurs peuvent désormais être exploitées pour usurpation d’identité bancaire ou administrative.

Le cadre légal: RGPD et Code pénal

L’article 4.12 du RGPD définit une violation comme « une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel » ^[34]. Les obligations applicables figurent aux articles 33 et 34 du RGPD ^[35].

Le responsable du traitement doit notifier la CNIL ^[36] dans un délai maximal de 72 heures ^[37] après la découverte d’une violation entraînant un risque pour les droits et libertés des personnes. Si le risque est qualifié d’élevé, l’organisme doit également informer les personnes concernées dans les meilleurs délais ^[38].

Côté droit pénal français, deux régimes coexistent. Pour les attaquants, l’article 323-1 du Code pénal réprime l’accès ou le maintien frauduleux dans un système de traitement automatisé de données de deux ans d’emprisonnement et 60 000 euros d’amende, peines portées à trois ans et 100 000 euros lorsque l’intrusion entraîne suppression ou modification de données. L’article 323-3, qui vise l’extraction frauduleuse de données - précisément ce que revendique le groupe ‘111’ - punit ces faits de cinq ans d’emprisonnement et 150 000 euros d’amende. Pour le responsable de traitement, l’article 226-17 du Code pénal sanctionne quant à lui le manquement à l’obligation de sécurité des données personnelles de cinq ans d’emprisonnement et 300 000 euros d’amende. Cette dernière disposition pourrait nourrir, le cas échéant, une instruction visant France Éducation international ^[3] si l’enquête établissait des défauts de sécurité caractérisés.

Le silence de France Éducation international

À la date de cette publication, aucune communication officielle de France Éducation international sur l’incident Ev@lang n’a été identifiée. Le contraste avec la séquence GAEL est frappant: le 12 janvier 2026, France Éducation international détectait l’attaque ^[39]; peu après, l’organisme suspendait l’accès à la plateforme ^[40], notifiait la CNIL et déposait plainte ^[41]. Trois mois plus tard, sur une attaque revendiquée publiquement et étayée par des extraits de base de données, le silence prévaut.

Ce silence interroge sur deux plans. D’abord, l’article 34 du RGPD impose au responsable de traitement, en cas de risque élevé pour les personnes concernées, de les informer « dans les meilleurs délais ». La présence de mots de passe et de coordonnées personnelles de mineurs caractérise sans ambiguïté un risque élevé. Ensuite, l’absence de notification publique prive les utilisateurs concernés du réflexe le plus utile: changer leurs mots de passe et activer la double authentification sur les services tiers. Aucune information ne permet à ce stade de savoir si une notification confidentielle à la CNIL a été effectuée dans les 72 heures imparties.

La quatrième brèche éducative en six mois

L’incident Ev@lang s’inscrit dans une séquence ininterrompue. Entre le 9 et le 12 janvier 2026 ^[42], la plateforme GAEL ^[43], utilisée par France Éducation international pour la gestion des diplômes DELF et DALF ^[44], a été ciblée par une cyberattaque. Les premières investigations évoquaient environ 5 millions de candidats exposés ^[45]; le communiqué officiel ultérieur de France Éducation international a porté ce chiffre à 5,8 millions de candidats et diplômés ^[46] depuis 2005 ^[47]. L’écart entre les deux chiffres tient à un périmètre différent: la première estimation ne comptabilisait que les candidats actifs identifiés dans la base initialement consultée, tandis que le second intègre l’ensemble des candidats et lauréats archivés depuis 2005 selon la communication officielle. L’attaque s’est produite via la compromission d’au moins trois comptes externes ^[48], avec des identifiants et mots de passe valides ^[49].

En mars 2026 ^[50], les données personnelles de 243 000 enseignants ^[51] ont été exfiltrées, le 23 mars ^[52], du système d’information consacré à la gestion des stagiaires ^[53], selon Le Monde, là encore par usurpation d’un compte ^[54]. Des éléments concernant identité, adresse, numéro de téléphone et périodes d’absence des enseignants ont été diffusés sur le dark Net ^[55].

Le 12 avril 2026 ^[56], le groupe DumpSec ^[57] a annoncé la mise en vente d’une base issue d’EduConnect ^[58], plateforme officielle du ministère permettant aux élèves, parents et établissements de consulter notes et bulletins ^[58]. La base concernerait plus de 3,5 millions d’élèves ^[59], avec 7,2 millions de bulletins scolaires ^[60] et 400 000 rapports ASSR2 ^[61] revendiqués. La compromission aurait duré deux jours fin décembre 2025 ^[62]. Le ministère a confirmé l’incident, l’attribuant à l’usurpation d’identité du compte d’un personnel habilité survenue à la fin de l’année 2025 ^[63], via une faille identifiée et corrigée depuis ^[64].

Cette séquence n’est pas sans précédent. À l’échelle internationale, plusieurs incidents récents ont illustré la même vulnérabilité, selon plusieurs sources: la dépendance des systèmes éducatifs à des plateformes centralisées, dont la moindre intrusion produit des fuites massives.

L’angle mort: une opération de prévention rattrapée par les faits

Du 23 au 27 mars 2026 ^[65], le ministère de l’Éducation nationale ^[66] a conduit, en partenariat avec le ministère de l’Intérieur (COMCYBER-MI) ^[67], la section J3 du parquet de Paris ^[68], Cybermalveillance.gouv.fr ^[69] et la CNIL ^[70], une simulation nationale d’hameçonnage. Près de 10 millions de personnes ^[71] ont été impliquées; 1 096 692 ^[72] ont cliqué sur le lien frauduleux, soit 12 % du public ciblé ^[73]. La France figure désormais au deuxième rang mondial des fuites de données, signe que la prévention ne suffit plus à compenser des architectures fragiles.

L’augmentation des infractions d’atteintes aux systèmes de traitement automatisé de données atteint 2 700 % entre 2017 et 2025 ^[11]. Pour Édouard Geffray, ministre de l’Éducation nationale ^[74], « les usages numériques s’imposent dès le plus jeune âge, notre responsabilité est claire » ^[75]. Le paradoxe est cinglant: peu après la fin de l’opération Cactus 2026, le groupe ‘111’ revendiquait Ev@lang.

Ce que les sources ne disent pas

Plusieurs questions cruciales restent sans réponse à la date de publication. Aucun communiqué public de France Éducation international n’a été identifié sur l’incident Ev@lang. La notification à la CNIL, obligatoire dans les 72 heures ^[37], n’a fait l’objet d’aucune confirmation publique. La méthode d’intrusion utilisée par ‘111’ n’a pas été documentée par une source indépendante. Et l’allégation du groupe selon laquelle la faille n’aurait pas été corrigée n’a pu être vérifiée par les canaux usuels - elle reste à ce stade une revendication unilatérale d’attaquants.

Aucune source consultée ne mentionne une intervention ou une prise de position publique de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) ^[76] sur cet incident, ni sur la séquence des quatre brèches éducatives qui se sont succédé depuis janvier 2026. Cette absence est notable: l’ANSSI avait été saisie lors de l’incident EduConnect, comme l’avait précisé le ministère. Sa parole publique sur la séquence consolidée demeure inaudible.

Le compte Twitter @cybergrp_111 ne comptait que 21 abonnés au moment de la revendication, un profil faible qui contraste avec l’ampleur revendiquée. Mais les extraits de base de données publiés en preuve, ainsi que l’alerte indépendante émise par le Café pédagogique sur la fuite EduConnect parallèle, indiquent que les revendications du moment, prises ensemble, dessinent un éducatif sous tension permanente.

Recommandations pour les utilisateurs concernés

Les utilisateurs ayant passé un test Ev@lang depuis 2016 ^[9] - en particulier les collégiens et anciens collégiens - devraient considérer leurs identifiants comme compromis. Le réflexe immédiat: changer tout mot de passe réutilisé sur d’autres services, activer la double authentification partout où elle est disponible, et se montrer vigilant face aux courriels et SMS d’hameçonnage exploitant des données scolaires (nom de l’établissement, classe, dates de tests). Pour les parents d’élèves mineurs, la surveillance des sollicitations entrantes - appels, SMS, courriels mentionnant l’établissement - doit être accrue dans les semaines qui viennent.