Un attaquant a utilisé à plusieurs reprises des identifiants compromis pour copier des dossiers d’élèves californiens pendant près de quatre mois, avant que le prestataire des tests Educational Testing Service ne découvre la fuite.
L’incident a touché un système de transfert de fichiers exploité par Educational Testing Service (ETS), qui collabore avec le California Department of Education dans le cadre de programmes d’évaluation à l’échelle de l’État.
Le Los Angeles Times a rapporté que ETS avait identifié l’incident le 25 septembre, après une activité non autorisée s’étant étendue du 22 mai au 18 septembre. Cette durée soulève des questions sur la manière dont cette activité a pu passer inaperçue et sur la capacité des contrôles d’accès et de la surveillance existants à détecter la copie de dossiers sensibles.
Un seul identifiant de confiance a exposé les données de millions d’écoliers
Un compte bénéficiait d’un niveau de confiance suffisant pour que sa compromission expose des données sensibles appartenant à des millions d’élèves des écoles publiques de Californie.
Selon le California Department of Education, l’attaquant a utilisé des identifiants compromis pour accéder à un site de transfert de fichiers d’ETS et copier des dossiers d’élèves, exposant ainsi des informations appartenant à des élèves actuels comme à d’anciens élèves.
Le nombre exact de personnes touchées n’a pas été publié. À titre de comparaison, la Californie comptait plus de 5,7 millions d’élèves dans les écoles publiques en 2025-2026, mais ce chiffre ne constitue pas un total confirmé de la fuite. La population concernée comprend des élèves actuellement scolarisés ou ayant été scolarisés entre 2023 et l’année scolaire en cours.
Elle comprend également des élèves ayant quitté une école californienne depuis 2006, lorsque leur transfert vers un autre établissement n’a pas été confirmé auprès du CDE.
Selon le CDE, les informations consultées et copiées variaient selon les personnes, mais pouvaient inclure le nom des élèves, leur date de naissance, leur adresse personnelle, leur numéro d’identification au niveau de l’État, des informations sur leur école et leur district, des données démographiques, leur situation de handicap, leur admissibilité à certains programmes d’aide et leurs résultats aux évaluations.
En revanche, la fuite n’a pas exposé de numéros de sécurité sociale, d’informations sur des comptes financiers, de mots de passe ni de données personnelles appartenant aux parents et aux tuteurs légaux.
Plus une fuite reste longtemps indétectée, plus le risque augmente
L’accès non autorisé aux dossiers d’élèves d’ETS a commencé le 22 mai 2026, mais le prestataire n’a découvert la fuite que le 25 septembre, soit une semaine après le dernier accès identifié. L’incident fait suite à une autre brèche d’Infinite Campus impliquant des comptes de membres du personnel scolaire. Cet écart est important, car une organisation ne peut pas réagir à une compromission qu’elle n’a pas encore détectée, laissant les données volées et l’accès potentiellement non autorisé sans réponse tant que l’intrusion reste inconnue.
Bien que les autorités n’aient signalé aucun élément indiquant que les informations volées sur les élèves ont été rendues publiques, cela ne signifie pas que les données n’ont pas été utilisées à mauvais escient ou transmises en privé.
Pour les organisations, le risque ne se limite pas aux informations volées lors d’une fuite : il concerne aussi la durée pendant laquelle les attaquants peuvent opérer sans être détectés et le temps dont ils disposent ainsi pour accéder à des données sensibles, les copier ou potentiellement en faire un usage abusif.
À mesure que les attaquants deviennent plus habiles à se dissimuler, les défenseurs doivent détecter ces activités plus rapidement, avant qu’elles ne passent inaperçues pendant de longues périodes. L’incident ETS rappelle que la prévention des accès non autorisés n’est qu’un volet de la sécurité.
ETS a désactivé le compte compromis, mis hors ligne le site de transfert de fichiers concerné et lancé une enquête avec des experts externes en cybersécurité. Le CDE indique qu’ETS a également mis en place un site de remplacement doté de contrôles de sécurité renforcés.
Les informations rendues publiques n’expliquent pas comment les identifiants ont été compromis ni n’ont permis d’identifier l’attaquant.
Quelle voie suivre ?
Pour les élèves californiens concernés, les autorités indiquent qu’ils peuvent bénéficier gratuitement de services de protection contre l’usurpation d’identité pendant 24 mois.
Les établissements scolaires ont été informés, et les élèves ainsi que leurs familles doivent suivre les instructions de la notification officielle pour accéder au service. Les personnes concernées doivent rester vigilantes face aux messages non sollicités prétendant provenir de leur établissement ou des autorités éducatives, même s’ils arrivent longtemps après l’incident.
Pour les équipes de sécurité, l’incident soulève des questions concrètes sur les autorisations des comptes, la surveillance des transferts de fichiers et la supervision des prestataires détenant des dossiers sensibles. Les informations publiques ne permettent pas d’établir quels contrôles précis ont échoué chez ETS, mais les organisations peuvent profiter de cet incident pour examiner leur propre exposition.
Commencez par vérifier quels comptes humains et comptes de service peuvent récupérer des fichiers sensibles, s’ils ont besoin d’accéder à l’ensemble des données et si les autorisations inactives peuvent être supprimées. Limitez l’accès aux dossiers et aux systèmes dont chaque compte a besoin, et utilisez l’authentification multifacteur lorsqu’elle est prise en charge, afin de rendre les identifiants volés plus difficiles à exploiter.
La surveillance doit couvrir l’activité sur les fichiers ainsi que les connexions. Les équipes de sécurité doivent examiner les volumes de téléchargement inhabituels, les transferts répétés et les accès incompatibles avec l’activité normale d’un compte, en s’appuyant sur une procédure claire pour désactiver les comptes suspects.
Les organisations qui partagent des données avec des prestataires doivent également déterminer qui examine les journaux d’accès, enquête sur les alertes et communique au sujet des incidents. L’objectif concret est de réduire à la fois la quantité d’informations qu’un compte compromis peut récupérer et la durée pendant laquelle une activité non autorisée peut se poursuivre.
À lire aussi : des identifiants compromis peuvent exposer des informations sensibles dans tous les secteurs, comme l’illustre la brèche d’ASOS impliquant des identifiants d’employés et des données clients.