Le groupe de pirates informatiques ZeroBytes, déjà auteur d'une attaque contre la direction générale des finances publiques (DGFIP), a revendiqué avoir dérobé des données personnelles de plusieurs millions d'élèves et de dizaines de milliers d'enseignants français. Dans un message publié sur un forum, les hackeurs affirment avoir pu « absorber 346 millions de lignes » de données, comprenant numéros de téléphone, adresses électroniques et domiciles.
Pourquoi cibler l'Éducation nationale ?
Interrogé par 20 Minutes, Thibaut Hénin, expert judiciaire en cybersécurité, explique que le choix de cette cible n'est pas nécessairement délibéré. « Il faut se méfier d'un biais : le pirate n'a pas forcément choisi l'Éducation nationale parce qu'il cherchait ces données de manière précise. C'est de la pêche au chalut. Les cybercriminels tendent des filets partout, attrapent ce qu'ils peuvent, puis trient et revendent », précise-t-il.
Si certaines données peuvent se vendre pour une somme dérisoire, leur valeur augmente lorsqu'elles sont recoupées avec d'autres bases. « Si vous croisez les fichiers de l'Éducation nationale avec ceux des impôts, vous pouvez localiser l'école des enfants de ménages très aisés. Prises séparément, ces informations ont peu d'impact ; combinées, elles créent des opportunités pour des criminels », ajoute l'expert. Ces recoupements pourraient, selon lui, faciliter des enlèvements contre rançon ou des attaques de phishing très personnalisées.
La revendication : une question de notoriété
Malgré la valeur parfois limitée des données, les pirates revendiquent leurs attaques pour des raisons d'image et de « branding ». Thibaut Hénin souligne que « dans ce milieu, où les profils sont souvent très jeunes, la recherche de notoriété est centrale. C'est un peu un fonctionnement de cour de récréation : revendiquer le piratage d'un ministère, c'est montrer à ses pairs qu'on n'est pas un “petit pirate” du dimanche. »
Ces revendications servent également de carte de visite pour vendre leurs services au plus offrant. L'expert qualifie cette approche d'« erreur stratégique », car la règle de base en cybersécurité est de ne jamais attaquer son propre pays et de rester discret. « Ces jeunes attaquants manquent souvent de maturité », observe-t-il.
Des pirates talentueux ou des systèmes mal protégés ?
Selon Thibaut Hénin, la réponse est nuancée : « Un peu des deux, mais avec de fortes nuances. » Les jeunes pirates possèdent de vraies compétences techniques et du temps pour s'entraîner, mais ils utilisent souvent des outils clés en main. Du côté de la défense, il existe une asymétrie : l'attaquant doit trouver une faille une seule fois, tandis que l'administrateur système doit sécuriser en permanence.
L'expert critique la culture française qui « privilégie la créativité sur la rigueur absolue », alors que la sécurité informatique exige une rigueur extrême. Il note toutefois que les infrastructures critiques, comme les centrales nucléaires, bénéficient de protocoles de sécurité maximaux supervisés par l'Agence nationale de la sécurité des systèmes d'information (ANSSI).
Quels risques pour les victimes et comment se protéger ?
Pour les données classiques (nom, prénom, adresse), le risque direct reste limité selon Thibaut Hénin, car ces informations étaient autrefois dans l'annuaire téléphonique. En revanche, si des bases identifiantes comme les annuaires LDAP sont touchées, le risque concerne les mots de passe. « Si un utilisateur a choisi un mot de passe faible, le pirate pourra le deviner rapidement », prévient-il.
Face à ces fuites, l'expert recommande de changer son mot de passe au moindre doute et d'utiliser des « phrases de passe » composées de 5 à 6 mots aléatoires sans lien entre eux. En cas de crainte concernant des données bancaires, il conseille de contacter directement son conseiller bancaire pour renforcer la vigilance sur le compte. Concernant la vulnérabilité des agents publics au phishing, Thibaut Hénin l'explique par une question de probabilités : l'Éducation nationale emploie plus d'un million de personnes, et si une tentative d'hameçonnage a une chance sur 10.000 de fonctionner, elle réussira nécessairement des dizaines de fois sur un tel volume.
