Le groupe ZeroBytes, déjà à l'origine d'une revendication de piratage contre la Direction générale des finances publiques, affirme avoir récupéré environ 43 Go de données issues de plusieurs systèmes de l'Éducation nationale. Parmi les académies citées figure celle de La Réunion.
Contacté mardi par le média Zinfos974, le rectorat de La Réunion a indiqué que l'incident est géré au niveau national et que le ministère se charge directement d'informer les personnels concernés. Aucune communication propre à l'académie réunionnaise n'est prévue pour l'instant. Le nombre d'agents dont les données figureraient dans les fichiers revendiqués reste inconnu.
D'après l'inventaire publié par les pirates, les données se répartiraient dans plus de 2 500 fichiers et représenteraient 346 millions de lignes. Ce chiffre, avancé par ZeroBytes, correspond à des données brutes issues de plusieurs bases, sans dédoublonnage : il ne désigne pas 346 millions de personnes distinctes. Le groupe revendique des informations tirées d'I-Prof, l'outil de gestion de carrière des enseignants, ainsi que des données relatives aux contrats, qualifications et formations des personnels.
La revendication va au-delà des seuls enseignants. ZeroBytes affirme détenir des bases scolaires de l'académie de Créteil remontant à 2005, incluant les identités d'élèves, leurs identifiants nationaux, dates et lieux de naissance, adresses et parcours scolaires. Le groupe dit aussi disposer de données issues de SCONET, utilisé pour le suivi des collégiens et lycéens, ainsi que de fichiers concernant les élèves en situation de décrochage. Deux annuaires numériques complets des académies de Créteil et Versailles, représentant environ 602 000 comptes avec identifiants, adresses électroniques et empreintes de mots de passe, figureraient également parmi les éléments revendiqués. Au total, ZeroBytes avance avoir identifié environ 1,22 million d'élèves distincts.
La circulation des données entre académies complique l'évaluation de l'impact local. Lorsqu'un personnel obtient une mutation, ses informations administratives sont transférées vers sa nouvelle académie. Une compromission survenue dans une académie comme Créteil peut donc toucher des agents ayant exercé à La Réunion à un moment de leur carrière.
Cette nouvelle revendication intervient après qu'une première intrusion a été reconnue par le ministère le 31 juillet. Selon lui, l'accès frauduleux avait eu lieu dans la nuit du 25 juillet, à la suite de l'usurpation d'un compte professionnel, et avait visé le système d'information dédié à la formation des personnels. Le ministère avait alors précisé que ce système « ne contient ni données bancaires, ni mots de passe, ni données relatives aux élèves ». Le périmètre aujourd'hui revendiqué par ZeroBytes est nettement plus large, mais rien n'établit à ce stade que l'ensemble des fichiers concernés provient de cette seule intrusion.
Dès le 26 juillet, le centre opérationnel de sécurité des systèmes d'information du ministère avait été alerté, l'accès externe au système suspendu et une cellule de crise activée. Le ministère a déposé plainte et saisi l'Agence nationale de la sécurité des systèmes d'information ainsi que la Commission nationale de l'informatique et des libertés. À La Réunion, le rectorat indique qu'aucune conséquence sur le fonctionnement des services n'a été constatée, mais que le renforcement de la sécurité des accès se poursuit. Une évolution du portail d'authentification de l'académie est prévue ce vendredi, afin de le rendre compatible avec les solutions d'authentification multifacteur déployées par le ministère.
7 commentaires
C'est quoi cette histoire, on a déjà les touristes qui galèrent avec la connexion sur le lagon et là on apprend que les données des profs de nos gamins traînent quelque part sur le dark web. Ici à Saint-Leu mes clients me posent des questions auxquelles j'ai pas de réponse, c'est quand même fort. Et le rectorat qui dit qu'aucune communication propre n'est prévue, franchement on marche sur la tête.
@Roselyne, tu as tellement raison, je coiffe pas mal d'enseignantes ici et c'est vrai que la vie ici lé pa fasil pour garder les profs. Si en plus elles apprennent leurs données dans la nature via les réseaux avant même un mail du rectorat, on comprend que certaines préfèrent repartir.
Moi mes clients du food truck me parlent souvent des profs du coin qui mangent chez moi le midi, des gens bien qui galèrent déjà avec les mutations et tout. Si en plus leurs données personnelles se baladent sur le net, c'est vraiment pas acceptable. Et le rectorat qui dit qu'il y a rien de prévu comme communication pour l'académie, franchement c'est un peu léger comme réponse.
C'est compliqué tout ça, moi je comprends pas tout mais si les données des profs sont volées, c'est les familles aussi qui trinquent. Ici à Salazie on a déjà du mal à garder les enseignants, i fo pas qu'ils aient des problèmes en plus avec leurs papiers administratifs. La pluie a encore tout retardé cette semaine, et maintenant faut s'inquiéter de ça aussi.
346 millions de lignes brutes sans dédoublonnage, c'est le genre de chiffre qu'on balance pour impressionner mais qui veut pas dire grand chose concrètement. Ce qui est vraiment préoccupant c'est I-Prof et les empreintes de mots de passe des 602 000 comptes, lé pa fasil à digérer ça. Et l'authent multifacteur qui arrive seulement maintenant, en 2025, pour un SI national... franchement c'était déjà en retard.
Est-ce qu'il y a un moyen de savoir si on est personnellement concerné ? En métropole j'avais l'habitude que ce genre de fuite soit suivi d'une communication directe aux personnes touchées, mais là j'ai du mal à comprendre pourquoi le rectorat local ne communique pas de son côté.
Franchement ça fait peur, surtout quand on voit les volumes de données concernées. Moi j'ai mis en place la double authentification sur tous mes outils e-commerce depuis un moment, et si une institution comme l'Éducation nationale est touchée à ce niveau-là, ça rappelle que personne est vraiment à l'abri. Les entrepreneurs qui stockent des données clients doivent vraiment prendre ça au sérieux.