Fuite Éducation nationale : la leçon de gestion de crise pour ta boîte

Encore une. Dans la nuit du 25 au 26 juillet 2026, un compte professionnel usurpé a servi de porte d'entrée dans le système de formation des personnels de l'Éducation nationale. Résultat : les données de tous les agents ayant exercé depuis 2001 se retrouvent exposées. Identité, statut, fonctions, adresses, téléphones, et pour une partie des personnes, le numéro de sécurité sociale.

Ce n'est pas un cas isolé. C'est le énième épisode d'une série qui touche l'État français depuis fin 2025. Le fisc, le ministère de l'Intérieur, le CROUS, l'enseignement catholique. Et si tu diriges une PME ou une collectivité en Auvergne-Rhône-Alpes, tu n'es pas spectateur. Tu es la prochaine cible potentielle, avec beaucoup moins de moyens pour encaisser.

On fait le point. Puis on te donne une checklist de réaction, applicable dès demain.

Une vague de fuites qui ne s'arrête plus

Reprenons la chronologie. Elle est édifiante.

• 19 février 2026 : la DGFiP révèle des accès illégitimes sur 1,2 million de comptes bancaires. IBAN, RIB, identité, adresses. Les données ont été détournées dès fin janvier. Il a fallu deux à trois semaines pour que ce soit reconnu publiquement.
• 15 mars 2026 : la base RH "Compas" de l'Éducation nationale est compromise. Près de 243 000 agents exposés, surtout des enseignants. L'intrusion n'est détectée que quatre jours après.
• 24 mars 2026 : le CROUS annonce le piratage des données de 774 000 étudiants. Un chiffre que les attaquants revendiquent jusqu'à deux millions. Pièces d'identité, bulletins de salaire exfiltrés pour 139 000 personnes.
• 12 avril 2026 : un groupe met en vente une base EduConnect visant plus de 3,5 millions d'élèves, quasi tous mineurs.
• 25-26 juillet 2026 : le système de formation des personnels tombe à son tour.

Deux enseignements ressortent tout de suite. Premier point : dans presque tous les cas, la porte d'entrée n'est pas une faille technique sophistiquée. C'est un identifiant volé. Un compte de fonctionnaire pour le fisc, un compte professionnel usurpé pour l'Éducation nationale. Deuxième point : le délai de détection. Quatre jours ici, plusieurs semaines pour la DGFiP. Si des institutions publiques avec des équipes dédiées mettent ce temps à voir l'intrusion, imagine dans une boîte de trente personnes sans SOC.

Un réflexe factuel à garder

Les chiffres varient toujours selon la source. Le ministère communique des volumes prudents, les groupes de hackers gonflent leurs revendications pour valoriser les données. Sur le CROUS, on passe de 774 000 à deux millions selon qui parle. Ne prends jamais le chiffre revendiqué par l'attaquant pour argent comptant. Mais ne le balaie pas non plus. C'est un ordre de grandeur à surveiller.

On avait déjà tiré des enseignements du piratage des impôts pour les entreprises. La logique est la même ici, en pire.

NIS 2 : la France toujours en retard, et ça te concerne

Pendant que les fuites s'enchaînent, le cadre censé élever le niveau de sécurité patine.

La directive NIS 2 est entrée en vigueur le 16 janvier 2023. Échéance de transposition : 17 octobre 2024. On est mi-2026 et la France n'a toujours pas fini. Le projet de loi Résilience, qui transpose NIS 2, la directive REC et le règlement DORA en même temps, a été adopté par le Sénat le 12 mars 2025. Le passage à l'Assemblée nationale, prévu en juillet 2026, glisse finalement en septembre.

Le retard n'est pas gratuit. Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union européenne pour défaut de transposition complète, en demandant une somme forfaitaire et des astreintes journalières. La procédure avait démarré en novembre 2024, avec un avis motivé reçu par la France en mai 2025.

Pourquoi ça bloque ? En partie un désaccord institutionnel autour de l'article 16 bis, qui interdit d'imposer des backdoors dans les services de chiffrement. Une disposition qui déplairait à la DGSI. Bref, une bataille d'appareils pendant que les données fuient.

Ce que ça change concrètement pour toi

NIS 2 va concerner entre 10 000 et 15 000 entités en France, selon les analyses. Avec des amendes qui peuvent grimper jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires. Le périmètre déborde largement les grands groupes : sous-traitants industriels, logistique, collectivités, secteur de la santé, gestion de l'eau ou des déchets.

L'ANSSI a publié le 17 mars 2026 son référentiel ReCyF. Il traduit NIS 2 en 20 objectifs de sécurité pour les entités essentielles et 15 pour les entités importantes. Un document concret pour savoir par où commencer.

L'erreur à ne surtout pas commettre : croire que le retard législatif te dispense d'agir. Deux raisons. D'abord, les donneurs d'ordre de l'industrie et de la logistique font déjà circuler leurs clauses cyber et leurs questionnaires sécurité. Si tu es dans le couloir rhodanien, on te les demandera avant même que la loi passe. Ensuite, attendre le texte pour te sécuriser, c'est laisser la porte ouverte pendant des mois. Les attaquants, eux, n'attendent pas septembre.

La checklist de réaction quand la fuite arrive

Une fuite chez toi ou chez un prestataire qui détient tes données, c'est une question de quand, pas de si. Voici la marche à suivre, dans l'ordre.

1. Contenir avant tout le reste

• Coupe l'accès du compte compromis. Change les mots de passe, révoque les sessions actives.
• Active l'authentification à deux facteurs partout où elle ne l'était pas. La plupart de ces attaques passent par un identifiant volé, pas par une faille zéro-day.
• Isole les systèmes touchés pour éviter la propagation.
• Ne détruis rien. Les logs et les traces serviront à l'enquête et à la CNIL.

2. Notifier dans les délais

Le RGPD impose de notifier la CNIL sous 72 heures après avoir pris connaissance d'une violation de données à caractère personnel, dès lors qu'elle présente un risque pour les personnes. Ce délai court vite. Prépare le modèle de notification à l'avance, pas le jour J.

• Documente ce que tu sais : nature des données, volume estimé, personnes concernées, mesures prises.
• Si le risque est élevé, tu dois aussi informer les personnes concernées directement.
• Dépose plainte. C'est ce qu'ont fait le ministère et la DGFiP, ANSSI et CNIL mobilisées.

3. Anticiper le phishing, qui arrivera juste après

Le ministère l'a dit clairement pour la fuite de juillet : le risque principal à court terme, c'est le phishing, l'usurpation et la revente de données. Quand ton fichier fuit, les attaquants savent ton nom, ton employeur, parfois ton numéro de sécu. Ils fabriquent des mails ultra crédibles.

• Préviens tes équipes qu'une vague de tentatives va suivre. Un message court, factuel, sans dramatiser.
• Rappelle les réflexes : ne jamais cliquer sur un lien de connexion reçu par mail, vérifier l'expéditeur, appeler pour confirmer toute demande de virement.
• Méfie-toi du phishing dopé à l'IA, de plus en plus difficile à repérer. On a détaillé le sujet dans notre article sur le phishing Crédit Agricole dopé à l'IA.

4. Protéger les fichiers pour la prochaine fois

La meilleure gestion de crise, c'est celle qu'on n'a pas à faire. Quelques mesures qui limitent la casse quand un compte est compromis.

• Chiffre les fichiers sensibles au repos. Un attaquant qui exfiltre une base chiffrée récupère du bruit.
• Cloisonne les accès. Personne ne devrait pouvoir tirer l'ensemble de la base RH depuis un seul compte. Le principe du moindre privilège vaut de l'or.
• Minimise les données. Tu ne peux pas perdre ce que tu ne stockes pas. Numéros de sécu, pièces d'identité, salaires : ne les conserve que si c'est indispensable, et pas plus longtemps que nécessaire.
• Journalise et surveille. Le délai de détection est le nerf de la guerre. Une alerte sur un téléchargement massif ou une connexion inhabituelle t'aurait fait gagner des jours.

Sur la question du tri et de la durée de vie de tes données, notre guide pour écrire une politique de conservation des données donne une méthode claire. Et pour les questions RGPD au sens large, on a fait le point sur ce que tu peux et ne peux pas faire.

Ce que tu fais cette semaine

Pas besoin d'un plan à trois ans. Trois actions concrètes, tout de suite.

• Active le 2FA partout. C'est la mesure qui aurait bloqué la majorité de ces attaques. Gratuit ou presque, déployable en quelques jours.
• Écris ta procédure de crise sur une page. Qui coupe les accès, qui notifie la CNIL, qui prévient les équipes, qui parle à la presse. Le jour de la fuite, tu n'auras pas le temps d'improviser.
• Récupère le référentiel ReCyF de l'ANSSI et repère les objectifs de sécurité que tu ne remplis pas encore. Tu prends de l'avance sur NIS 2 sans attendre la loi.

Les collectivités de la métropole et les PME de la région ne jouent pas dans la même catégorie que l'Éducation nationale côté moyens. Mais les attaquants utilisent les mêmes méthodes contre tout le monde. Un identifiant volé, un délai de détection trop long, un fichier trop gros mal protégé. La bonne nouvelle, c'est que les contre-mesures de base sont à ta portée. Reste à les mettre en place avant la prochaine fuite, pas après.