L'utilisation d'identifiants de connexion compromis a entraîné le vol d'informations personnelles appartenant à des élèves actuels et anciens des écoles publiques de l'État de Californie, via le système de transfert de fichiers de l'Educational Testing Service (ETS), selon une annonce du Département de l'Éducation de Californie (CDE).
L'ETS est un organisme à but non lucratif qui administre les examens imposés par l'État et le gouvernement fédéral dans le cadre de contrats officiels. Il prend en charge les programmes d'évaluation de l'État (CAASPP et ELPAC) et s'est appuyé sur un site de protocole de transfert de fichiers sécurisé (SFTP) pour partager les données d'évaluation avec le Département de l'Éducation. L'organisme a détecté une activité inhabituelle sur le site le 25 septembre, tandis que les enquêtes ont indiqué que les premiers accès remontent à la fin du mois de mai.
L'avis de violation émis par le Département de l'Éducation indique qu'une partie non autorisée a utilisé des identifiants de connexion compromis à divers moments entre le 22 mai 2026 et le 18 septembre 2026 pour accéder au serveur SFTP et copier des fichiers contenant des données d'élèves. Bien qu'aucun chiffre précis du nombre de victimes n'ait été fourni, l'avis confirme que les informations concernant les élèves inscrits au cours des trois dernières années scolaires ont été entièrement consultées et copiées, l'impact s'étant également étendu aux élèves ayant quitté les écoles de Californie depuis 2006 sans confirmation officielle de leur transfert.
Que contiennent les données compromises ?
Les dossiers consultés comprenaient divers détails tels que les noms des élèves, les dates de naissance, les adresses résidentielles, les écoles, les districts et les niveaux scolaires, les numéros d'identification locaux et de l'État, le sexe, la race ou l'origine ethnique, la langue principale, le pays d'origine et le statut d'apprenant de la langue anglaise. Certaines entrées comprenaient également des informations sur les situations de handicap et les classifications de la Section 504, les aménagements d'examen, les données sur les compétences linguistiques, les résultats et les dépassements d'inscription aux examens, ainsi que des indicateurs d'éligibilité à divers programmes de soutien.
Les autorités officielles ont précisé que les fichiers compromis ne contenaient pas de numéros de sécurité sociale, de mots de passe, de détails financiers ou de cartes de paiement, et que la violation ne visait pas non plus les données des parents et des tuteurs.
Réponse et mesures techniques
À la suite de cette découverte, l'ETS a fermé le compte utilisé lors de l'intrusion et a complètement désactivé le site SFTP, tout en commençant à construire un site de remplacement doté de contrôles de sécurité plus stricts. L'organisme a collaboré avec des experts en cybersécurité et les forces de l'ordre pour atténuer les risques de publication des données en ligne, confirmant que la surveillance du réseau n'avait jusqu'à présent révélé aucune preuve de fuite publique des données.
Sur le plan des notifications, le Département de l'Éducation a informé les directeurs d'écoles et les districts scolaires le 2 octobre, tandis que l'envoi de notifications individuelles aux élèves concernés a débuté le 16 du même mois et devrait se poursuivre jusqu'au début du mois de novembre, parallèlement à la suspension temporaire du traitement des données d'inscription et de certains travaux d'évaluation en attendant l'évaluation de la sécurité des systèmes.