Des millions d’élèves actuels et anciens des écoles publiques californiennes ont vu des informations personnelles sensibles volées après que des attaquants ont compromis un système exploité par l’Educational Testing Service (ETS). La violation a affecté les dossiers des élèves collectés sur plusieurs années, y compris des informations sur les handicaps, les performances scolaires et les circonstances familiales.
Le département de l’Éducation de Californie a révélé l’incident le 16 octobre 2026. Les responsables ont confirmé que les informations volées concernent les élèves inscrits au cours des trois années scolaires précédentes, certains documents remontant à 2006. Environ 5,7 millions d’élèves ont fréquenté les écoles publiques californiennes rien que lors de la dernière année scolaire.
Les enquêteurs ont retracé l’intrusion à un identifiant de connexion compromis utilisé pour accéder à un système sécurisé de transfert de fichiers ETS. La plateforme permettait au fournisseur de tests et aux responsables de l’éducation de l’État d’échanger des informations d’évaluation, mais les identifiants volés donnaient à une personne un accès non autorisé à des fichiers contenant des données étudiantes.
Selon le département, l’attaquant a copié des informations à plusieurs reprises entre le 22 mai et le 18 septembre 2026. L’ETS a découvert une activité suspecte le 25 septembre, ce qui signifie que l’accès non autorisé a duré près de quatre mois avant d’être détecté.
Les dossiers compromis peuvent inclure des noms, adresses domiciliaires, dates de naissance, informations scolaires, numéros d’identification des élèves et résultats d’évaluations académiques. Certains fichiers contiennent également des détails démographiques, des informations sur la maîtrise des langues, des classifications de handicap, des aménagements aux tests et l’éligibilité aux programmes d’aide à l’éducation.
ETS a souligné que les numéros de sécurité sociale, les détails des comptes financiers, les informations sur les cartes de paiement, les mots de passe et les informations des parents ou tuteurs n’étaient pas inclus dans les fichiers volés.
Après cette découverte, ETS a désactivé le compte compromis et fermé le système de transfert de fichiers concerné. L’organisation a ensuite construit une plateforme de remplacement avec des contrôles de sécurité renforcés et a fait appel à des spécialistes externes en cybersécurité pour enquêter sur l’incident.
Cette perturbation a également affecté le traitement normal des informations sur l’inscription des élèves utilisées pour les évaluations à l’échelle de l’État. L’ETS a indiqué qu’elle travaillait à rétablir les services tout en renforçant la surveillance et les restrictions d’accès.
Bien que les documents volés contiennent des informations sensibles, ETS a rapporté ne trouver aucune preuve que ces données aient été rendues publiques. Les autorités n’ont pas identifié l’attaquant ni expliqué comment les identifiants de connexion originaux ont été compromis.
Les notifications aux élèves et familles concernées ont commencé le 16 octobre et devraient se poursuivre début novembre. ETS propose deux ans de services gratuits de protection de l’identité via Experian IdentityWorks.