Fuite de données chez ETS en Californie : un identifiant compromis expose des millions d’élèves

Près de quatre mois d’accès silencieux sur un site de transfert de fichiers

Les familles californiennes reçoivent des avis de fuite de données après une intrusion chez Educational Testing Service (ETS), l’organisme qui gérait les évaluations pour le département de l’Éducation de Californie, selon The Record. Plutôt que d’exploiter une faille logicielle complexe, GovTech rapporte qu’un tiers non autorisé a utilisé un identifiant de connexion compromis pour accéder aux systèmes d’ETS.

Ce seul identifiant a permis aux intrus d’opérer sans être détectés pendant près de quatre mois. D’après The Record, les pirates ont copié des données via un site de protocole de transfert de fichiers sécurisé entre le 22 mai et le 18 septembre 2026. ETS a découvert la fuite le 25 septembre, puis a désactivé le compte concerné et mis le site hors ligne. À la suite de ce constat, l’État a commencé à notifier les familles le 16 octobre, avec des envois se poursuivant jusqu’en novembre.

L’ampleur de l’exposition : des inscrits de 2025-2026 jusqu’à 2006

Les fichiers copiés touchent à la fois les élèves actuels et d’anciens élèves. Malwarebytes rappelle que plus de 5,7 millions d’élèves étaient inscrits dans les écoles publiques de Californie en 2025-2026, et l’État a indiqué que la fuite couvrait les élèves des trois années scolaires précédentes et au-delà. Plus précisément, LAist souligne que les données touchées remontent aux inscriptions de 2023, et jusqu’à 2006 pour les élèves ayant quitté la Californie sans confirmer leur transfert vers un autre établissement.

Selon Malwarebytes, les données exposées peuvent inclure les noms, les identifiants SSIDs, les dates de naissance, les adresses personnelles, les données démographiques, les informations sur le handicap et la participation aux programmes ainsi que les résultats aux tests. En revanche, Malwarebytes précise que les numéros de sécurité sociale, les informations de comptes financiers, les mots de passe et les informations sur les parents ou tuteurs n’étaient pas concernés.

En réponse à cet incident, LAist indique qu’ETS propose deux ans de services gratuits de protection d’identité, avec une date limite d’inscription fixée au 19 mars 2027.

Ce que cela signifie pour les plateformes éducatives et d’examens

Bien que l’incident ETS concerne les écoles publiques californiennes et n’ait aucun lien direct avec l’Algérie, l’architecture sous-jacente — l’échange de fichiers massifs d’inscription et de résultats avec des prestataires ou centres d’examen — est courante dans les ministères de l’éducation, les universités et les offices d’examens. Trois enseignements pratiques s’appliquent aux responsables informatiques du secteur éducatif en Algérie.

1. Remplacer les identifiants simples sur les serveurs de transfert par une authentification forte et un filtrage réseau

Un tiers non autorisé a pu copier des données via un site de protocole de transfert de fichiers sécurisé du 22 mai au 18 septembre 2026 à l’aide d’un simple identifiant compromis, avant qu’ETS ne découvre l’intrusion le 25 septembre et ne désactive le compte. Tout serveur de transfert manipulant des listes d’élèves ou des résultats d’examens doit imposer une authentification multifacteur, une liste blanche d’adresses autorisées et des sessions à durée limitée.

2. Purger les dossiers historiques des répertoires de transit

Parce que d’anciens fichiers étaient restés accessibles, la fuite est remontée non seulement aux inscriptions de 2023, mais jusqu’à 2006 pour certains anciens élèves. Un serveur de transfert de fichiers sert au transit et non à l’archivage : dès qu’une session d’évaluation est close, les fichiers contenant noms, dates de naissance, adresses et résultats doivent être supprimés du serveur d’échange.

3. Surveiller les volumes téléchargés pour détecter une intrusion avant quatre mois

L’intrus a copié des données entre le 22 mai et le 18 septembre avant que la brèche ne soit découverte le 25 septembre. Des alertes automatiques sur les volumes de téléchargement inhabituels ou les connexions hors horaires ouvrés permettent de repérer un compte prestataire compromis dès le premier jour plutôt qu’après quatre mois.

La leçon structurelle

La fuite touchant la Californie et ETS montre que les serveurs de transfert de fichiers constituent souvent le maillon faible de la gouvernance des données publiques. Même lorsque les bases centrales excluent les données financières, les mots de passe et les informations sur les parents, des répertoires de transit peuvent accumuler des années de dossiers scolaires sensibles — y compris des informations sur le handicap et les résultats aux tests — qui se retrouvent exposés dès qu’un identifiant est compromis.

Pour les établissements d’enseignement et organismes publics en Algérie, la règle est double : verrouiller les serveurs d’échange de fichiers avec la même rigueur que les bases principales, et ne jamais laisser des cohortes historiques stockées sur un serveur de transit une fois la session d’examen terminée.

Questions Fréquemment Posées

Sources et lectures complémentaires

• California warns all public school students of data breach — The Record
• Testing company data breach affects millions of California students — GovTech
• California student data breach 2026: What to do — LAist
• Millions of California students affected by ETS data breach — Malwarebytes