L’académie de Créteil confirme officiellement avoir été victime d’une intrusion informatique fin juillet, suivie d'une extraction de données concernant des élèves, leurs représentants légaux et des personnels. Cette confirmation s’inscrit dans une affaire plus large, dont l’ampleur exacte reste encore à établir.
Dans un communiqué publié ce 21 septembre, l’académie de Créteil confirme officiellement l’intrusion et l’extraction de données personnelles, et précise les catégories de données concernées. L’établissement indique avoir mené ses dernières investigations et expertises techniques en lien avec l’Agence nationale de la sécurité des systèmes d’information (ANSSI), avant de livrer un premier bilan détaillé.
Ce que confirme officiellement l’académie
Selon le communiqué, les données extraites proviennent des bases élèves et de l’annuaire des personnels de l’académie. Elles concernent les années scolaires 2025-2026 et 2026-2027 et comprennent les catégories suivantes :
- noms et prénoms
- dates de naissance
- identifiants nationaux des élèves (INE)
- adresses électroniques personnelles
- numéros de téléphone portable
- adresses postales
- appréciations qualitatives et des notes
L'académie qualifie elle-même cette fuite d’« atteinte importante à la confidentialité des données personnelles concernées », en soulignant que leur utilisation frauduleuse pourrait notamment donner lieu à des tentatives d’hameçonnage ou d’usurpation d’identité. Elle rappelle à ce titre que les services de l’Éducation nationale ne demandent jamais, par courriel, téléphone ou message, de communiquer des identifiants de connexion, des mots de passe ou des coordonnées bancaires, et invite les personnes concernées à ne pas répondre aux messages suspects, à ne pas cliquer sur leurs liens et à les signaler comme indésirables.
La CNIL a été notifiée et une enquête judiciaire est en cours. L'académie assure par ailleurs avoir pris des mesures de sécurisation des infrastructures et des données dès que l’intrusion a été connue, et met à disposition une adresse dédiée, ce.dpd@ac-creteil.fr, pour toute question concernant cette fuite.
Une pièce d’un dossier bien plus vaste
Ce communiqué s’inscrit dans une affaire qui dépasse largement le seul périmètre de Créteil. L’intrusion à l’origine de cette fuite s’est produite à la fin du mois de juillet et a été rendue publique par le ministère le 31 juillet. Elle a ensuite été revendiquée le 17 août par un pirate opérant sous le pseudonyme ZeroBytes, qui avait également revendiqué auparavant une attaque visant la DGFiP.
Selon les éléments publiés par ce pirate et relayés par plusieurs sites spécialisés, la revendication dépasserait le seul périmètre de Créteil et comprendrait des données présentées comme provenant de plusieurs académies françaises, issues de différents systèmes : BE1D pour le premier degré, SCONET pour le second degré, l’annuaire fédéré SCHAAF, ou encore I-Prof pour la gestion des personnels. Certains exports sont présentés comme couvrant 33 académies. ZeroBytes revendique au total près de 43 Go de données réparties sur environ 2 500 fichiers, soit quelque 346 millions de lignes brutes, avec des données issues d’annuaires LDAP de Créteil et Versailles représentant, selon les éléments revendiqués, environ 600 000 comptes académiques.
Un point mérite d’être traité avec prudence, faute de confirmation officielle : le pirate affirme que ces annuaires contiendraient également des empreintes cryptographiques de mots de passe, un élément qui, s’il se vérifiait, aggraverait sensiblement les risques pour les comptes concernés. Le ministère a pour sa part confirmé avoir informé individuellement les personnels potentiellement touchés, tout en poursuivant ses expertises pour déterminer précisément l’ampleur des données élèves exfiltrées.
