Les chiffres — tous revendiqués
Chronologie
🔍Pourquoi ce dossier est traité différemment
La plupart des dossiers de ce Laboratoire distinguent une intrusion confirmée par l'organisme d'un volume revendiqué par le pirate. Ici, même l'intrusion elle-même n'a pas de confirmation institutionnelle publiée au moment de la rédaction — seule la revendication existe, relayée par la presse spécialisée. Ce n'est pas une raison pour ignorer le sujet : des millions de comptes d'élèves mineurs sont en jeu si la revendication s'avère exacte. C'est une raison de le dire aussi clairement que possible.
Source : Café pédagogique, Journal du Geek, avril 2026.Questions fréquentes
Le ministère de l'Éducation nationale a-t-il confirmé cette fuite ?
Non, pas au moment de la rédaction. Le chiffre de 3,5 millions d'élèves provient exclusivement du site spécialisé FrenchBreaches, qui rapporte lui-même la revendication du groupe DumpSec. Aucune déclaration officielle du ministère ne confirme ce volume ni l'identité de l'auteur.
Que revendique le groupe DumpSec ?
Le 12 avril 2026, DumpSec annonce avoir compromis la plateforme EduConnect via une manipulation de requêtes HTTP exploitant un défaut de contrôle d'accès, sur deux jours fin décembre 2025. Le groupe revendique des données de 3,5 millions d'élèves, 7,2 millions de bulletins scolaires, 400 000 attestations ASSR2, ainsi que des mots de passe en clair sur plusieurs comptes.
Quelles données seraient concernées ?
Selon la revendication : noms, prénoms, identifiants EduConnect, établissements, classes, adresses email quand elles sont renseignées, et codes d'activation pour les comptes non encore activés. Rien de ceci n'est confirmé indépendamment du pirate à ce stade.
Pourquoi ce dossier est-il classé différemment des autres du Laboratoire ?
Parce que la quasi-totalité de ce que l'on sait vient d'une seule source (le pirate, relayé par un site spécialisé), sans confirmation institutionnelle. C'est le cas le moins confirmé de toute la série de fuites françaises couvertes ici, et ce dossier le signale explicitement plutôt que de présenter le chiffre comme un fait établi.
Quel est le risque pour les familles ?
Si la revendication s'avère exacte, les données concernent des enfants mineurs : nom, établissement, classe. Combinées, elles peuvent servir à cibler un parent avec un message crédible se faisant passer pour l'école ou le rectorat. Le risque reste, à ce stade, une analyse et non un fait constaté.
Pour aller plus loin
Egidio — Laboratoire des menaces, « EduConnect : 3,5 M d'élèves revendiqués, non confirmé », egidio.app/laboratoire/educonnect-fuite-3-5-millions-eleves/. Licence CC BY 4.0.
Réutilisation libre, y compris commerciale, avec attribution. Conditions de réutilisation.