Le Département de l'Éducation de Californie (CDE) a informé les étudiants et les familles d'une violation de données chez l'un de ses sous-traitants, Educational Testing Service (ETS). La violation de données des étudiants californiens chez ETS rappelle que la confidentialité des dossiers scolaires dépend de chaque entreprise qui les manipule, et pas seulement des écoles elles-mêmes.

Le CDE diffuse l'avis de violation de données d'ETS pour aider à garantir que les personnes concernées reçoivent des informations sur l'incident et sur le soutien dont elles peuvent bénéficier. Voici ce qui a été rapporté jusqu'à présent, et ce que les familles peuvent faire à ce sujet.

Ce qui s'est passé chez Educational Testing Service

Selon les rapports sur l'incident, un tiers non autorisé a utilisé un identifiant compromis pour accéder à un site de transfert de fichiers exploité par ETS, l'organisation à but non lucratif qui gère les tests pour l'État. Les articles indiquent que l'intrus a copié des dossiers d'étudiants entre le 22 mai et le 18 septembre. Cela représente une fenêtre d'environ quatre mois durant laquelle un seul identifiant volé semble être resté utile.

Ce détail est important. L'incident n'a pas été décrit comme une intrusion sophistiquée dans les systèmes propres de l'État. Il impliquait un identifiant et un site de transfert de fichiers utilisé pour déplacer des données de tests entre organisations. Les identifiants volés, réutilisés ou laissés sans protections solides comptent parmi les moyens les plus courants par lesquels les attaquants accèdent aux systèmes, et un accès de longue durée peut passer inaperçu sans une surveillance étroite.

Un commentateur en sécurité cité dans les articles a estimé le nombre de dossiers d'étudiants compromis à sept millions, et a décrit les risques graves en matière de responsabilité et d'activité qu'une telle compromission crée pour les organisations qui détiennent des données d'étudiants. Les chiffres exacts pourraient être affinés au fur et à mesure de l'enquête, il convient donc de considérer les premiers chiffres comme préliminaires.

Quelles données d'étudiants ont été exposées et qui est à risque

Les rapports indiquent que les informations volées comprennent les noms, les dates de naissance, le statut de handicap et les résultats de tests d'étudiants californiens. Chacun de ces éléments présente des risques différents :

  • Les noms et dates de naissance sont des éléments fondamentaux pour l'usurpation d'identité et pour des tentatives d'imitation convaincantes.
  • Le statut de handicap est hautement sensible. Contrairement à un mot de passe, il ne peut pas être modifié, et son exposition peut causer un préjudice bien au-delà de la fraude financière.
  • Les résultats de tests sont des dossiers éducatifs que les familles s'attendent raisonnablement à voir rester privés.

Les personnes les plus touchées sont les étudiants californiens dont les données de tests ont transité par le site de transfert de fichiers d'ETS, ce qui pourrait inclure des étudiants actuels, et potentiellement d'anciens étudiants selon la durée de conservation des dossiers. Les jeunes sont une cible particulièrement attrayante pour les voleurs d'identité car ils n'ont souvent aucun historique de crédit, de sorte que l'utilisation abusive peut passer inaperçue pendant des années.

Si vous avez reçu un avis du CDE ou d'ETS, prenez-le au sérieux et lisez-le attentivement. L'avis est la source la plus fiable pour savoir ce qui s'applique à vous et quels services sont proposés.

Pourquoi les sous-traitants de l'éducation sont un maillon faible

Les écoles et les agences d'État gèrent rarement tous les systèmes eux-mêmes. Les tests, les plateformes d'apprentissage et le traitement des données sont souvent externalisés, ce qui signifie que les informations des étudiants sont copiées dans des systèmes gérés par d'autres organisations. Chaque transfert crée un endroit supplémentaire où les données peuvent être exposées, et les familles n'ont généralement pas leur mot à dire sur les fournisseurs utilisés.

Cette violation s'inscrit dans un schéma. Nous avons couvert comment une seconde violation de données Canvas a perturbé les examens à Penn State et au-delà, un autre cas où un fournisseur technologique servant de nombreuses institutions est devenu le point de défaillance. Lorsqu'un fournisseur sert des millions d'étudiants, une seule faiblesse peut les affecter tous en même temps.

Trois questions méritent d'être posées à tout fournisseur d'éducation :

  1. Combien de temps les données sont-elles conservées ? Les dossiers qui ne sont plus nécessaires devraient être supprimés. Les anciens fichiers qui traînent sur un site de transfert sont une responsabilité.
  2. Comment l'accès est-il protégé ? Un seul identifiant volé ne devrait pas suffire pour accéder à des millions de dossiers.
  3. À quelle vitesse les anomalies sont-elles détectées ? Un accès qui persiste pendant des mois suggère des lacunes de surveillance qu'il vaut la peine d'examiner.

Ce que cela signifie pour vous

Si vous êtes un parent, un tuteur ou un étudiant en Californie, vous n'avez pas besoin de paniquer, mais vous devriez agir. Les données prétendument concernées sont des informations personnelles stables, de sorte que le risque peut persister bien après que le cycle médiatique se sera déplacé.

Un VPN ne protège pas contre ce type de violation, car les données ont été prélevées sur le serveur d'un fournisseur plutôt que sur votre connexion. Les défenses les plus utiles sont celles ci-dessous.

  • Gelez le crédit. Un gel de crédit est gratuit et bloque la plupart des tentatives d'ouvrir de nouveaux comptes au nom d'un étudiant. Les parents peuvent généralement demander des gels pour les mineurs ; consultez les procédures des bureaux de crédit pour le processus.
  • Surveillez l'hameçonnage. Les attaquants qui connaissent le nom, la date de naissance et le contexte scolaire d'un étudiant peuvent rédiger des messages très convaincants. Soyez sceptique face aux e-mails ou textos inattendus concernant les tests, les bourses ou la violation elle-même, et rendez-vous directement sur les sites officiels au lieu de cliquer sur des liens.
  • Utilisez le soutien offert. Si l'avis inclut une surveillance ou une assistance, inscrivez-vous rapidement et conservez une copie de l'avis.
  • Sécurisez les comptes. Utilisez des mots de passe uniques et l'authentification multifacteur sur les comptes de messagerie et scolaires, car l'e-mail est souvent la clé pour réinitialiser tout le reste.
  • Conservez des traces. Notez les dates, les avis et toute activité suspecte au cas où vous auriez besoin de contester une fraude ultérieurement.

Points à retenir concrets

La violation de données des étudiants californiens chez ETS montre que la solidité des promesses de confidentialité d'une école est limitée par son fournisseur le plus faible. Les familles ne peuvent pas y remédier seules, mais elles peuvent réduire les dommages et plaider pour de meilleures pratiques.

  • Gelez le crédit des étudiants concernés et des adultes du foyer.
  • Traitez les messages inattendus concernant les tests ou la violation comme suspects jusqu'à vérification par des canaux officiels.
  • Demandez à votre école, votre district et tout fournisseur combien de temps les données des étudiants sont conservées et qui y a accès.
  • Suivez les mises à jour du CDE et d'ETS au fur et à mesure de l'enquête.

Ce n'est pas la première fois que la technologie éducative est touchée, et les incidents Canvas suggèrent que ce ne sera pas la dernière. Rester informé et poser des questions directes sur la conservation des données est l'une des mesures les plus pratiques que les familles peuvent prendre.