Cyberattaques et fuites de données à l'Éducation nationale

Mme Karen Erodi appelle l'attention de M. le ministre de l'éducation nationale sur la succession de cyberattaques ayant frappé les systèmes d'information de son ministère depuis le début de l'année 2026 et sur l'insuffisance des mesures prises pour protéger les données personnelles des agents, des élèves et de leurs familles. Depuis janvier 2026, plusieurs systèmes ministériels ont été compromis : Compas en mars, ÉduConnect en avril, SI Formation en juillet, etc. Cette série a culminé à la mi-août avec la fuite de plus de 346 millions de lignes de données brutes issues de 33 académies et couvrant jusqu'à vingt ans d'archives. Ces intrusions ne relèvent plus de l'incident isolé mais révèlent une défaillance structurelle de la capacité du ministère à garantir la sécurité des informations qu'il collecte. Le point d'entrée commun à ces attaques, un compte ou un accès professionnel détourné, met en cause la robustesse même de l'authentification, alors que les infractions d'atteinte aux systèmes de traitement automatisé de données ont augmenté de 2 700 % au niveau national depuis 2017. Cette vulnérabilité dépasse le seul ministère de l'éducation nationale. En août 2026, la direction générale des finances publiques a reconnu une cyberattaque ayant exposé les données fiscales de plus de 678 000 particuliers et professionnels, revendiquée par le même acteur malveillant et reposant, là encore, sur l'usurpation des identifiants d'un agent et d'un tiers habilité. Qu'une même faille d'authentification permette de compromettre coup sur coup deux administrations régaliennes témoigne d'un défaut de sécurité systémique. L'administration fiscale a d'ailleurs annoncé généraliser une authentification renforcée d'ici la fin de l'année, preuve que l'État connaît le remède, mais tarde à le déployer partout où le risque existe. Les données exposées à l'éducation nationale couvrent l'identité, le numéro de sécurité sociale, l'adresse postale, le téléphone, le statut et les fonctions de millions d'agents ayant exercé depuis 2001. Contrairement à un mot de passe, ces informations ne peuvent être réinitialisées et exposent durablement les personnes à l'usurpation d'identité administrative. Les personnels contractuels apparaissent particulièrement vulnérables, leurs données figurant dans les mêmes bases que celles des titulaires sans qu'ils bénéficient des mêmes garanties statutaires. Les étudiants et stagiaires inscrits en master MEEF via les INSPÉ, dont les données ont transité par le système de formation visé en juillet, se trouvent également concernés alors qu'ils ne sont pas encore fonctionnaires. Ces dysfonctionnements ne sont pas sans conséquence sur le fonctionnement quotidien du service public. Dans plusieurs académies, les messageries professionnelles et les outils de gestion des personnels et des élèves ont cessé de fonctionner, faisant peser une incertitude directe sur la continuité du service. Cette situation soulève une inquiétude légitime quant au versement des salaires, qui doit être assuré normalement pour l'ensemble des personnels, ainsi que sur les conditions d'affectation des personnels remplaçants et contractuels en cette période de rentrée. Ces fuites touchent aussi environ 1,22 million d'élèves, avec des données d'identité, de naissance, d'adresse mais également des données scolaires et disciplinaires. Une intrusion dans un espace numérique de travail ou dans ÉduConnect, système dont la responsabilité technique est partagée entre l'État et les collectivités territoriales, ne se limite pas à l'exfiltration de données : elle met en cause la fiabilité des bulletins, des livrets scolaires, de l'attribution des diplômes et des procédures de bourses reposant sur des croisements de données fiscales et familiales de plus en plus automatisés, ce qui les expose à des tentatives d'hameçonnage d'autant plus crédibles qu'elles s'appuient sur des données réelles. Ainsi, elle lui demande quel est le périmètre exact, catégorie par catégorie, des données compromises lors de chacun des incidents de 2026 et selon quel calendrier chaque personne concernée sera informée individuellement de la nature des données exposées, conformément aux obligations du règlement général sur la protection des données. Elle lui demande également si un audit de sécurité indépendant de l'ensemble des systèmes d'information du ministère sera diligenté et quand l'authentification multifacteur sera généralisée à l'ensemble des comptes professionnels et académiques. De plus, elle lui demande quels dispositifs d'accompagnement spécifiques seront mis en place pour les contractuels ainsi que pour les étudiants et stagiaires des INSPÉ et quels moyens humains et budgétaires seront alloués aux établissements pour absorber la gestion de ces incidents. Elle lui demande en outre quelles mesures seront prises pour rétablir sans délai les accès aux outils professionnels nécessaires au fonctionnement des écoles, des établissements et des services et pour garantir le versement des salaires de tous les personnels ainsi que l'affectation des remplaçants et des contractuels sans retard imputable à ces incidents. Enfin, elle lui demande quelles garanties il entend apporter pour qu'aucune sanction disciplinaire ou administrative ne puisse être opposée à un agent victime d'une usurpation d'identité rendue possible par la défaillance des systèmes ministériels, et quels moyens il compte consacrer à la lutte contre la cybercriminalité.