Une fuite de données chez le fournisseur de logiciels scolaires Frontline Education pourrait avoir exposé les informations personnelles sensibles de plus de 1,3 million de personnes aux États-Unis.
Un incident de sécurité survenu en août et impliquant les systèmes de l’entreprise a mis en danger les dossiers d’élèves et de membres du personnel scolaire. De récentes communications des districts scolaires et des autorités des États ont révélé l’ampleur de la fuite, les personnes concernées recevant des notifications au sujet d’informations potentiellement exposées.
Cet incident souligne une préoccupation croissante pour les établissements scolaires : les dossiers sensibles des élèves et du personnel peuvent rester vulnérables par l’intermédiaire de prestataires logiciels externes, même lorsque les réseaux des districts ne sont pas directement compromis.
Une faille dans un logiciel tiers a permis d’accéder à des dossiers scolaires sensibles
Le 14 août, Frontline a découvert un accès non autorisé à une partie de son environnement par l’intermédiaire d’une vulnérabilité d’un logiciel tiers. Selon sa communication du 26 octobre, l’activité s’est poursuivie jusqu’au 15 août.
Les systèmes concernés comprenaient Frontline Central, qui gère l’administration du personnel, et School Health Management, qui prend en charge les activités de santé scolaire. Les informations compromises variaient selon les personnes, mais comprenaient notamment des numéros de sécurité sociale, des dates de naissance et des numéros d’identification officiels. Des identifiants Medicaid et des numéros d’identification d’élèves figuraient également parmi les dossiers concernés.
Frontline a indiqué avoir corrigé la vulnérabilité et achevé son enquête avec l’aide d’une entreprise indépendante de cybersécurité. Des mesures de surveillance et des contrôles de sécurité supplémentaires ont depuis été mis en place. Les responsables de l’entreprise n’ont pas identifié publiquement le logiciel vulnérable ni les attaquants impliqués, mais ont signalé qu’aucun usage abusif des informations n’était connu.
Les avis de fuite révèlent différents groupes exposés
Les districts scolaires qui utilisent les services de Frontline ont publié leurs propres avis concernant les dossiers conservés par le prestataire. Deux districts ont signalé des populations exposées différentes, mais aucun des deux n’a identifié d’intrusion dans son propre réseau.
- Killeen Independent School District, au Texas a indiqué que les informations appartenant à environ 45 000 employés actuels et anciens, ainsi qu’à d’autres personnes associées, pourraient avoir été compromises par l’intermédiaire de Frontline. Les dossiers pouvaient notamment contenir des adresses personnelles et des adresses e-mail, entre autres informations personnelles. Aucune information concernant des élèves n’était impliquée.
- Greenwood School District 50, en Caroline du Sud a identifié environ 16 678 élèves actuels et anciens dont les données pourraient avoir été consultées par l’intermédiaire du prestataire. Les informations concernées peuvent inclure des numéros d’identification Medicaid et des coordonnées.
Les déclarations faites auprès des autorités indiquent un impact plus large. Le registre des notifications de fuite de données de Caroline du Sud recense 493 535 résidents concernés, soit bien plus que la population identifiée par Greenwood.
Frontline indique que les adultes admissibles bénéficient de deux ans de surveillance du crédit et de protection contre l’usurpation d’identité, tandis que les mineurs admissibles peuvent bénéficier d’une surveillance du dark web. Les avis précisent les informations concernées pour chaque destinataire.
Les dossiers détenus par les prestataires nécessitent une supervision allant au-delà de la sécurité des réseaux locaux
Les districts scolaires restent responsables de répondre aux préoccupations des élèves et des membres du personnel dont les informations ont été compromises par l’intermédiaire de Frontline, même lorsque leurs propres réseaux n’ont pas été victimes d’une fuite. Déterminer qui a été touché et quelles informations étaient concernées dépend des conclusions et des dossiers fournis par le prestataire.
Les informations personnelles peuvent également rester dans des systèmes externes longtemps après le départ des élèves ou des employés. Les anciens membres de la communauté scolaire peuvent ne plus apparaître dans les bases de données actives, alors que leurs informations restent détenues par un prestataire. Les pratiques existantes de prévention des pertes de données peuvent offrir une visibilité limitée sur ces dossiers, ce qui rend importantes les questions relatives aux périodes de conservation et aux modalités de suppression dans la gestion des risques liés aux tiers.
Pour les districts concernés, obtenir un inventaire des dossiers compromis au niveau individuel est essentiel afin de déterminer qui informer et de quelle aide ces personnes pourraient avoir besoin. Les équipes de sécurité devraient également vérifier si leurs plans de réponse aux incidents leur permettent d’obtenir rapidement ces informations auprès de prestataires externes.
Des dépendances similaires existent dans les organisations qui externalisent l’administration du personnel ou des services liés aux soins de santé. Même sans fuite dans leur propre infrastructure, les entreprises peuvent avoir du mal à réagir efficacement lorsque leurs fournisseurs contrôlent les informations nécessaires pour évaluer un incident.
Autres actualités de cybersécurité : Les attaquants ont exploité l’infrastructure de messagerie d’Arara pour envoyer jusqu’à 7,13 millions de messages suspects usurpant l’identité de sociétés émettrices de cartes de crédit.