Une nouvelle inquiétante secoue le monde de l’éducation en ligne : PowerSchool, leader mondial des logiciels éducatifs dans le cloud pour le primaire et le secondaire, a été victime d’une cyberattaque majeure. Les hackers ont réussi à accéder à des informations hautement confidentielles concernant les élèves, notamment leurs numéros de sécurité sociale, leurs notes et même des données médicales.

Une faille de sécurité exploitée

Selon les détails communiqués par PowerSchool, les cybercriminels ont pu s’introduire dans le portail interne de support client en utilisant des identifiants volés. Cette faille de sécurité leur a ouvert les portes du système de gestion des dossiers scolaires, qui contient une mine d’informations sensibles sur les élèves, leurs présences, leurs résultats et leurs inscriptions.

Les types de données dérobées varient selon les établissements scolaires touchés, mais il s’agit principalement de noms, d’adresses et d’autres informations permettant d’identifier les individus.

PowerSchool

L’ampleur des dégâts encore inconnue

PowerSchool, dont les logiciels sont utilisés par plus de 16 000 clients pour gérer les dossiers de 50 millions d’élèves en Amérique du Nord, n’a pas souhaité communiquer sur le nombre exact de personnes affectées par cette fuite massive de données. L’entreprise assure cependant avoir pris toutes les mesures nécessaires pour empêcher toute nouvelle utilisation non autorisée des informations subtilisées.

Un « vol à l’extorsion » plutôt que du ransomware

Fait intéressant, PowerSchool précise qu’il ne s’agit pas d’une attaque par ransomware mais plutôt d’une extorsion pure et simple. La société aurait négocié avec les malfaiteurs, via un intermédiaire spécialisé, pour éviter que les données ne soient publiées. Certaines sources affirment même qu’une somme d’argent aurait été versée, en échange de la suppression des informations volées. PowerSchool se veut rassurant :

PowerSchool pense que les données ont été supprimées sans reproduction ni diffusion supplémentaire.

Rachel Colson, porte-parole de Bain Capital, propriétaire de PowerSchool

Un coup dur pour la confiance dans l’edtech

Cette fuite de données de grande ampleur chez l’un des principaux fournisseurs de technologies éducatives soulève de sérieuses questions sur la sécurité des informations sensibles confiées à ces plateformes. Les établissements scolaires et les parents s’inquiètent des risques d’usurpation d’identité et d’utilisation frauduleuse de ces données confidentielles.

PowerSchool va devoir redoubler d’efforts pour regagner la confiance de ses clients et prouver que de tels incidents ne se reproduiront plus. C’est tout l’écosystème de l’edtech qui est impacté par ce type de failles de sécurité, à l’heure où l’éducation en ligne prend une place de plus en plus importante.

Espérons que cette cyberattaque serve de piqûre de rappel à toutes les entreprises gérant des données sensibles, afin qu’elles renforcent leurs mesures de protection et de détection des menaces. L’avenir de l’edtech en dépend, tout comme la confiance des familles dans ces outils numériques éducatifs.

• Renforcer la sécurité des accès et des identifiants
• Chiffrer les données sensibles stockées
• Former le personnel aux bonnes pratiques de cybersécurité
• Auditer régulièrement les systèmes et corriger les failles