Un mois après, le vol à l’Éducation nationale n’est toujours pas chiffré. Le pirate, lui, a compté.

Sommaire

• Le ministre compte tout. Sauf les gens.
  • Un compte volé. Et la serrure arrive en 2027.
  • Toulouse, et le progrès qu’on ne niera pas
  • Le voleur, lui, sait très bien compter
• Notes de bas de page :
  • Soutenez un média libre
  • Partager :

Encore un ? Oui, encore un article sur la sécurité des données. Pas de mon fait. Mais de l’actualité. Que veux-tu, la France a mal à son web. Cela ne fuit pas de partout. On a laissé des portes ouvertes. Partout. Donc open-bar, pour le malfaisant. Bref, chaque jour un nouvel épisode de cette série. Qui devient habituelle. Alors, aujourd’hui, nouvel épisode intitulé « On ne sait pas trop combien de comptes ont été volés ».

Un mois. C’est le temps qu’il a fallu au ministère de l’Education nationale pour venir te parler chiffres. Et il en a apporté. Plein. Des beaux. De toute les formes. Il y a 98 % de ceci, 400 de cela, à une exception près. Le tableau de bord est impeccable. Cependant tu regardes la colonne « nombre de personnes dont les données sont dans la nature ». Elle est vide. Comme un blanc. Comme si elle n’avait jamais existé. Elle l’était déjà le 31 juillet. De fait, elle l’est encore le 27 août. Autrement dit, trente jours d’expertise technique pour accoucher de « dizaines de milliers ». Voilà. Assieds-toi. Car on va compter ensemble ce que le ministère, lui, ne compte pas.

Un chiffre pour résumer la doctrine maison ? Le voilà.

Le ministre compte tout. Sauf les gens.

D’abord, rendons à César. Le ministre parle, et c’est déjà mieux que le silence. Il annonce que les enfants et les personnels reprendront « dès le mardi 1er septembre ». Ensuite il concède que la situation est « évidemment très inconfortable pour les personnels ». Traduction : on sait, on est désolés, débrouillez-vous. Autre traduction plus franche : cela risque d’être un peu le bordel. Mais faudra faire avec. Voilà. C’est dit. Par ailleurs, il affirme que 98 % des opérations de préparation de rentrée sont faites. Chiffre précis. À la décimale près.

Suivent les autres. En effet, à une exception près, les services sont rétablis. De plus, quatre cents applications nationales passeront en double authentification. Ouf, enfin. Pas trop tôt. Pas pu le faire dès le début ? Puis l’audit mené avec l’ANSSI rendra ses conclusions en septembre. Une mission flash¹ regarde par ailleurs la sécurité des systèmes d’information. Enfin, les procédures d’archivage seront revues. En résumé, tout est daté. Tout est quantifié. Donc le ministère sait compter. Vraiment très bien, même. Une seule question : pourquoi ne pas avoir mis dés le début l’A2F en place ? Car on sait bien que dans la précipitation, on oublie toujours quelque chose.

Reste une case. Une seule. Combien de personnes ont vu leurs données partir ? Être volées plutôt. Là, plus rien. Silence radio. Comme un blanc. Grand. Très grand même. Concrètement, le ministère reconnaît ne pas disposer d’une évaluation précise. Des dizaines de milliers d’enseignants et d’élèves, dit-on. Cette fourchette, au fond, va de vingt mille à neuf cent mille. Merci, c’est limpide. Du coup tu peux avancer. Mais alors, elle aura servi à quoi cette mission flash ? A dire simplement qu’il faut mettre l’authentification à deux facteurs en place ? Ou alors, les chiffres sont tellement important qu’on ose pas le dire ?

Un compte volé. Et la serrure arrive en 2027.

Passons au meilleur. Et il est vraiment bon. Le 31 juillet, le ministère publie son premier communiqué. Il y écrit lui-même le mode opératoire. Je cite : « l’usurpation d’un compte professionnel ». Un compte. Volé. Qui ouvre le système d’information dédié à la formation des personnels. Là, au moins, il n’y a pas de grand silence. Pas de faille exotique. Pas de zero-day² acheté trois cent mille dollars sur un forum russe. Un identifiant, un mot de passe, et bonsoir. Hop, c’est ouvert. Le voleur se sert. Que protège exactement la double authentification ? Précisément ça. C’est même sa seule raison d’exister. En clair, un mot de passe volé ne suffit plus, car il faut le second facteur. Basique. Basé sur un principe simple. Ce que je connais. Ce que j’ai. D’ailleurs, c’est enseigné en seconde, au programme de sciences numériques.

Le ministère l’a bien compris. Il va donc la généraliser. Sur quatre cents applications nationales. D’ici début 2027. Tu as bien lu la fin de la phrase. Début 2027. Autrement dit, la serrure qui aurait empêché le cambriolage est commandée. Elle arrive. Après le cambriolage. Cinq mois après, dans le meilleur des cas. De fait, c’est du management par la catastrophe. Efficace dans son genre, cela dit : au moins, maintenant, le budget passera. Mais en attendant que la serrure soit posée, il se passe quoi ? On surveille ? Le voleur peut revenir ? Et voler de nouveau ? Petit rappel au passage. Le fisc t’impose la double authentification depuis des lustres pour consulter ton avis d’imposition. Toi, l’usager. En revanche, sur ses propres comptes d’agents, l’État a été nettement moins pressé. On en a d’ailleurs parlé ici même. La cohérence, ce n’est pas encore ça.

A lire également :

L’Éducation nationale a trouvé une solution quand elle est piratée. Elle coupe tout. Fastoche.

Toulouse, et le progrès qu’on ne niera pas

Soyons honnêtes, parce que ça compte. Il y a quatre jours, on comptait Nantes, Toulouse et Bordeaux à l’arrêt. Aujourd’hui, en revanche, le ministre parle d’une exception. Une seule académie encore privée de services plusieurs jours durant : Toulouse. Deux académies sur trois ont donc été relevées. C’est un vrai progrès et il faut le dire. Sauf que. Toulouse, ce n’est pas un hameau. Ce sont huit départements. Des centaines de milliers d’élèves. Et des dizaines de milliers de personnels. Or à six jours de la rentrée, on leur explique qu’ils sont l’exception. Résultat, la statistique est flatteuse. Le vécu, un peu moins. Car lorsque tu es dans les 2 %, le reste ne te réchauffe pas beaucoup. Reste que l’exception, elle, dure. Les systèmes toulousains sont éteints depuis le 19 août, et le 26 encore, les syndicats locaux décrivaient l’arrêt total des outils. Aucune date de rétablissement n’a été communiquée. Il y a comme un blanc du côté du ministère. Allo, allo…… Bip. Bip.

Cela dit, la vraie question n’est pas Toulouse. Elle est ailleurs. Elle tient dans ce que le ministère appelle « une mesure de précaution » et non « un dégât ». La formule est jolie. Elle est même défendable techniquement. Sauf qu’un proviseur privé de son portail pendant trois semaines s’en moque un peu, du vocabulaire. Pour lui, précaution ou dégât, l’écran affiche la même chose. Rien. Et rien c’est rien. C’est le néant.

Le voleur, lui, sait très bien compter

Terminons par la scène qui résume tout. D’un côté, le ministère. Un mois d’expertise. Trois formulations successives. Le 31 juillet : « un nombre important » d’agents. Ensuite, le 18 août : les expertises sont en cours. Enfin, le 25 août : dizaines de milliers, sans évaluation précise. On progresse à reculons.

De l’autre côté, le pirate. Lui, il a sorti son tableur. Il annonce 346 millions de lignes. Détaille. Ventile. De plus, il donne des ordres de grandeur par catégorie. On peut douter de ses chiffres, et on doit s’en méfier, car ils sont invérifiables et servent sa publicité. Néanmoins, lui au moins a compté son butin. Le volé, non. Et méfie-toi de ce qui circule. Un chiffrage attribué à une source unique non officielle parle de 1,22 million d’élèves et de 4,35 millions d’identifiants de personnels. Or plusieurs reprises l’ont transformé en « 122 millions ». Cent vingt-deux millions. La France compte pourtant 11,6 millions d’élèves au total. Autrement dit, dix fois la population scolaire du pays. Si tu croises ce nombre quelque part, tu fermes l’onglet.

Voilà où on en est. Le ministère rouvre les portes, promet des serrures pour l’année prochaine, et ignore encore qui est passé par la fenêtre. La rentrée aura lieu. Cahin-caha. Les cours seront faits. Les gamins seront là. Et quelque part, dans un fichier que personne n’a fini de compter, il y a le numéro de sécurité sociale³ d’un prof. Un prof qui ne sait même pas qu’il est concerné. On le lui dira. Progressivement. Mais pour l’instant, il y a un blanc. Grand. Très grand.

Notes de bas de page :

1. Mission flash : format d’enquête administrative courte, quelques semaines, destiné à produire un diagnostic rapide plutôt qu’un rapport complet. On en commande beaucoup après un incident. ↩︎
2. Zero-day : faille inconnue de l’éditeur du logiciel, donc sans correctif disponible au moment où elle est exploitée. C’est la catégorie la plus chère du marché. Rien à voir avec ce qui s’est passé ici. ↩︎
3. Le communiqué du 31 juillet précise que, pour certains agents, l’adresse postale, le numéro de téléphone et le numéro de sécurité sociale figurent dans les données concernées, pour les personnels ayant exercé en académie depuis 2001. ↩︎