En bref

• Les données de plus de 62 millions d’élèves et 9 millions d’enseignants ont été compromises lors de la faille PowerSchool.
• Les commissaires à la vie privée de l’Ontario et de l’Alberta reprochent aux écoles des contrats faibles et un manque de surveillance.
• Le pirate a exploité l’absence d’authentification multifactorielle, une mesure de sécurité de base.
• Les dossiers divulgués à Toronto remontent à 1985 et contiennent des informations sensibles.
• Les régulateurs exhortent les écoles à renforcer les contrats et à restreindre l’accès aux systèmes.

Anatomie d’un désastre numérique

Imaginez que vous fermiez votre porte d’entrée à clé, mais que vous laissiez les fenêtres grandes ouvertes. C’est essentiellement ce qui s’est passé lorsque les écoles canadiennes ont confié à PowerSchool - un fournisseur de logiciels éducatifs largement utilisé - les données sensibles de millions d’élèves et d’enseignants, pour découvrir ensuite que leur maison numérique avait été cambriolée. Deux autorités provinciales de protection de la vie privée, de l’Ontario et de l’Alberta, pointent désormais du doigt non seulement le pirate ou PowerSchool, mais surtout les écoles elles-mêmes pour avoir laissé ces fenêtres ouvertes.

Déroulement de la faille

En décembre, un étudiant universitaire du Massachusetts a réussi à contourner les défenses de PowerSchool, exploitant une faille béante là où l’authentification multifactorielle (MFA) aurait dû se trouver. Pensez à la MFA comme à une seconde serrure sur votre porte ; sans elle, un intrus déterminé n’a aucun mal à entrer. Résultat ? Un vol de données touchant plus de 62 millions d’élèves et 9 millions d’enseignants à travers l’Amérique du Nord, certains dossiers torontois remontant à près de quarante ans - y compris des fichiers très sensibles sur l’éducation spécialisée et la discipline.

Mais la faille ne s’est pas produite dans le vide. Les enquêteurs ont découvert que les conseils scolaires n’avaient pas inclus de clauses solides sur la vie privée et la sécurité dans leurs contrats avec PowerSchool. Ils ont aussi négligé de surveiller activement les pratiques de sécurité de l’entreprise et ont permis au personnel de support d’accéder à distance aux systèmes d’information des élèves plus longtemps que nécessaire - laissant en quelque sorte les clés sous le paillasson. Pire encore, lorsque la faille s’est produite, les écoles ne disposaient pas de plans adéquats pour réagir rapidement et limiter les dégâts.

Un schéma de négligence et une problématique plus large

Ce n’est pas la première fois que des établissements scolaires sont pris au dépourvu. L’attaque par ransomware de 2020 contre le Toronto District School Board et la faille de 2021 chez le fournisseur américain de logiciels éducatifs Illuminate Education ont toutes deux révélé des faiblesses similaires : surveillance insuffisante des prestataires, mesures de sécurité obsolètes et absence de plan de gestion de crise. Selon un rapport de 2023 du K12 Security Information Exchange, le secteur de l’éducation reste une cible privilégiée des cybercriminels, souvent en raison d’un sous-investissement dans la cybersécurité et de réseaux complexes de prestataires tiers.

L’incident PowerSchool met également en lumière un risque croissant sur le marché : à mesure que les écoles s’appuient de plus en plus sur des plateformes numériques, le moindre contrat faible ou défaut de surveillance peut mettre des millions de personnes en danger. Avec l’essor mondial des technologies éducatives, les régulateurs avertissent que la vie privée et la sécurité doivent devenir non négociables - surtout lorsqu’il s’agit de données d’enfants.

Après la faille : leçons et avertissements

En réponse, les commissaires à la vie privée lancent un appel pressant au changement. Les écoles sont invitées à renégocier leurs contrats, à exiger des protections renforcées de la vie privée et à surveiller de près les mesures de sécurité de leurs prestataires. Limiter l’accès à distance et disposer d’un plan de réponse en cas de faille sont désormais considérés comme des étapes cruciales.

La faille PowerSchool rappelle avec force que la confiance numérique ne repose pas seulement sur la technologie, mais aussi sur la vigilance, la surveillance et la responsabilité. Lorsque les gardiens des données de nos enfants baissent la garde, les conséquences peuvent se faire sentir pendant des générations.

WIKICROOK

• Authentification multifactorielle (MFA) : L’authentification multifactorielle (MFA) est une méthode de sécurité qui exige que les utilisateurs fournissent deux preuves d’identité ou plus avant d’accéder à un compte.
• Plan de réponse à une faille : Un plan de réponse à une faille décrit les étapes qu’une organisation doit suivre pour contenir rapidement, enquêter et se remettre d’une violation de données ou d’une cyberattaque.
• Accès à distance : L’accès à distance permet aux utilisateurs de se connecter à un ordinateur ou à un réseau à distance, offrant de la commodité mais nécessitant une sécurité renforcée pour éviter les accès non autorisés.
• Fuite de données : Une fuite de données est la divulgation non autorisée d’informations confidentielles, exposant souvent des données sensibles au public ou à des acteurs malveillants.
• Tiers : Un « tiers » désigne une partie externe dont les systèmes se connectent à votre organisation, augmentant potentiellement les risques de cybersécurité via de nouveaux canaux d’intégration.