Un pirate a copié les données de millions d'élèves californiens chez le prestataire des examens ETS

SACRAMENTO, Californie. Le département de l'Éducation de Californie a annoncé vendredi qu'un pirate avait copié les informations personnelles de millions d'élèves des écoles publiques dans un système exploité par Educational Testing Service, l'organisme sans but lucratif qui gère les examens de l'État pour la Californie.

Selon le département, l'intrus a accédé aux dossiers de tous les élèves inscrits au cours des trois années scolaires précédentes. Pour la seule année scolaire 2025-26, plus de 5,7 millions d'élèves étaient inscrits dans les écoles publiques de Californie. D'après les informations publiées sur l'avis de l'État, certains anciens élèves sont aussi concernés, avec des dossiers remontant à 2006 pour des élèves partis sans transfert confirmé. Ni le département ni ETS n'ont publié le nombre exact de personnes touchées.

Quelles données ont été copiées

L'avis de l'État précise que les fichiers copiés varient selon les élèves. Ils peuvent contenir le nom de l'enfant, son adresse, sa date de naissance, son école, son district et son niveau scolaire, ainsi que ses numéros d'identification d'élève au niveau de l'État et au niveau local. Les fichiers peuvent aussi contenir le sexe, la race ou l'origine ethnique, la langue principale, le pays d'origine et le statut d'apprenant de l'anglais. Le système contenait également des dossiers sur le handicap et le statut au titre de la Section 504, les aménagements pour les examens et l'éligibilité à des aides fédérales comme les programmes Title I et McKinney-Vento, ainsi que l'inscription, la participation et les résultats aux examens et les dossiers de niveau d'anglais.

Les autorités ont précisé que les fichiers ne contenaient pas de numéros de sécurité sociale, de numéros de permis de conduire ou de passeport, de coordonnées bancaires ou de carte, de mots de passe de comptes, ni d'informations personnelles sur les parents et les tuteurs.

Un identifiant volé, utilisé pendant des mois

ETS gère les évaluations de l'État de Californie, dont les examens Smarter Balanced et les évaluations de maîtrise de l'anglais pour la Californie. L'intrusion a visé un site sécurisé de transfert de fichiers qu'ETS et l'État utilisent pour échanger les données d'évaluation des élèves.

Selon l'avis de l'État, ETS a repéré une activité non autorisée sur le site le 25 septembre et a ouvert une enquête avec des experts extérieurs en cybersécurité. L'enquête a établi qu'une personne utilisant un identifiant compromis a copié des fichiers à plusieurs reprises entre le 22 mai et le 18 septembre 2026. ETS a désactivé le compte, mis le site hors ligne, puis construit un nouveau site avec des contrôles renforcés. L'organisme dit travailler avec les forces de l'ordre et affirme que sa surveillance n'a trouvé à ce jour aucun signe que les informations copiées aient été rendues publiques.

Les responsables des districts ont appris l'incident par une lettre de l'État datée du 2 octobre, qui indiquait aussi que le traitement normal des données d'inscription avait été interrompu. L'avis public est arrivé le 16 octobre, et ETS a commencé le même jour à écrire aux élèves et aux familles concernés. Les notifications devraient se poursuivre jusqu'au début du mois de novembre.

Pourquoi un seul identifiant compte

L'affaire soulève des questions vives sur la façon dont un seul mot de passe volé a pu ouvrir pendant des mois les dossiers de millions d'enfants sans être repéré. Anton Dahbura, de l'Institut de sécurité de l'information de l'université Johns Hopkins, a déclaré aux journalistes qu'un identifiant volé ne devrait jamais servir de laissez-passer de plusieurs mois vers les dossiers des élèves, et il a demandé pourquoi des vérifications supplémentaires, des limites d'accès et une surveillance n'avaient pas arrêté la copie plus tôt.

ETS a défendu ses pratiques dans un communiqué et dit avoir ajouté des mesures de sécurité depuis la découverte. Le département de l'Éducation de l'État dit travailler avec d'autres agences de l'État pour établir la portée complète de l'incident et donner aux familles concernées une information claire et un soutien.

Pour l'instant, les autorités demandent aux familles de rester vigilantes face aux appels, messages et courriels suspects qui prétendent venir d'ETS ou d'agences de l'État, et d'utiliser les canaux d'aide indiqués dans les lettres d'avis. Les familles de jeunes enfants peuvent aussi se renseigner auprès des bureaux de crédit sur un dossier consommateur protégé ou un gel de crédit pour un enfant de moins de 16 ans, une mesure qui empêche l'ouverture de nouveaux comptes au nom de l'enfant.