Outils / Actualités / Un seul identifiant volé a permis de copier pendant quatre mois des fichiers d'élèves californiens sur le serveur de transfert d'ETS
Presse

Un seul identifiant volé a permis de copier pendant quatre mois des fichiers d'élèves californiens sur le serveur de transfert d'ETS

· VaultTools

Educational Testing Service, qui organise les examens de l'État de Californie, indique qu'un tiers non autorisé a utilisé un identifiant compromis pour copier des fichiers d'élèves sur son site SFTP entre le 22 mai et le 18 septembre 2026. Les fichiers concernent tous les élèves inscrits lors des trois dernières années scolaires, avec des données de handicap, de résultats et d'adresse. Les notifications ont commencé le 16 octobre.

VaultTools · 21 octobre 2026

Une salle de classe vide avec des rangées de pupitres face à un tableau noir, à l'image des millions d'élèves californiens dont les dossiers se trouvaient sur un serveur de transfert de fichiers. Photo sur Unsplash

Table des matières

Ce qui s’est passé

Des informations personnelles sur des élèves actuels et anciens des écoles publiques de Californie ont été copiées depuis un système de transfert de fichiers géré par Educational Testing Service (ETS), selon le California Department of Education (CDE). ETS est l’organisme à but non lucratif qui organise les examens obligatoires de l’État et fédéraux en Californie, dont les évaluations CAASPP et ELPAC, sous contrat avec l’État, a rapporté SecurityWeek.

L’avis du CDE indique que la population touchée comprend “all students enrolled in the three previous school years”. Aucun nombre de victimes n’a été publié. Pour donner un ordre de grandeur, SecurityWeek et Malwarebytes rappellent que plus de 5,7 millions d’élèves étaient inscrits dans les écoles publiques californiennes en 2025-2026. Selon CyberInsider, la FAQ du CDE couvre aussi d’anciens élèves ayant quitté une école californienne depuis 2006 sans transfert confirmé.

Ce qui a été exposé

Selon SecurityWeek, les champs varient d’un dossier à l’autre. Les données de base comprennent :

  • Nom, date de naissance et adresse du domicile
  • École, district, niveau scolaire et identifiants d’élève de l’État et locaux
  • Genre, origine ethnique, langue principale, pays d’origine et statut d’apprenant de l’anglais

Certains dossiers contiennent des champs bien plus sensibles :

  • Statut de handicap et Section 504, type de handicap principal et aménagements d’examen
  • Données de maîtrise de l’anglais, inscriptions aux examens et résultats
  • Indicateurs Title I, McKinney-Vento (élèves sans domicile) et famille de militaire

D’après l’avis, les numéros de sécurité sociale, les mots de passe, les données de comptes financiers et de cartes de paiement ainsi que les informations sur les parents ou tuteurs ne sont pas concernés. ETS affirme que sa surveillance du web n’a trouvé aucune preuve de publication des données.

Comment c’est arrivé

Le système touché était un site SFTP qu’ETS utilisait pour échanger les données d’évaluation de l’État avec le CDE, a rapporté CyberInsider. L’avis du CDE précise qu’un tiers non autorisé “used a compromised login credential at various times” entre le 22 mai et le 18 septembre 2026, et a copié des fichiers d’élèves.

Ni ETS ni le CDE n’ont expliqué comment l’identifiant a été compromis ni qui l’a utilisé. ETS a désactivé le compte, mis le site SFTP hors ligne et construit un remplaçant doté de protections renforcées, selon SecurityWeek. L’organisme a aussi suspendu le traitement habituel des données d’inscription et une partie des travaux d’examen pendant l’évaluation de sa sécurité. CyberInsider indique que le CDE et le State Board of Education examinent le respect par ETS de ses obligations de sécurité et contractuelles.

La chronologie de la divulgation

  • 22 mai 2026 : premier accès non autorisé au site SFTP, selon l’avis du CDE.
  • 18 septembre 2026 : dernier accès enregistré.
  • 25 septembre 2026 : ETS détecte l’activité non autorisée.
  • 2 octobre 2026 : le CDE écrit aux directeurs de district et aux administrateurs des écoles charter.
  • 16 octobre 2026 : début des notifications aux élèves et aux familles, prévues jusqu’à début novembre.

Les élèves concernés peuvent s’inscrire à deux ans de protection d’identité Experian IdentityWorks gratuite jusqu’au 19 mars 2027, selon CyberInsider.

Pourquoi cela compte pour les outils de fichiers basés sur le navigateur

Un serveur de transfert de fichiers est censé n’être qu’un tuyau. En pratique, les fichiers y arrivent et y restent, ce qui explique qu’un seul identifiant valide ait donné à un intrus un accès répété pendant près de quatre mois. Les copies ont survécu au transfert qui les justifiait.

Les données d’examen de l’État doivent circuler entre un prestataire et une administration, et aucun outil côté client n’y change rien. Ce que l’incident montre, c’est le coût de chaque copie supplémentaire : chaque fichier stocké sur un serveur est une cible de plus pour un mot de passe volé.

Pour vos propres fichiers, ce coût est évitable. VaultTools exécute chaque outil dans votre navigateur, compilé en WebAssembly. Convertir un tableur, compresser un PDF ou zipper un dossier se fait sur votre appareil : pas d’envoi, pas de dossier de transit sur le serveur de quelqu’un d’autre, pas de compte dont les identifiants pourraient l’exposer plus tard. Ouvrir une liste d’élèves ou un export de notes dans la visionneuse CSV fonctionne de la même manière : les lignes ne quittent jamais votre machine.

Sources

← Retour aux actualités