Alors que les étudiants de tout le pays font leur rentrée sur les campus, les responsables se préparent à lutter contre une tendance inquiétante : la montée en puissance des attaques par ransomware qui touchent le secteur de l'éducation.
En juin, par exemple, le réseau des Hawai’i Community College a été victime d’une attaque par ransomware de type « » , perpétrée par un pirate informatique non identifié, qui a compromis les données personnelles de 28 000 personnes. Quatre mois plus tôt, une attaque par ransomware avait frappé le Gaston College, en Caroline du Nord ; le groupe Snatch a par la suite revendiqué cette attaque et a divulgué des informations personnelles issues de ses bases de données, notamment des numéros de Sécurité sociale, en les publiant sur le dark web. Cette attaque a entraîné la mise hors service de divers systèmes destinés au corps enseignant et aux étudiants et a rendu le réseau Wi-Fi du campus inaccessible pendant plusieurs semaines.
De janvier à juin, plus de 120 établissements scolaires — qu’il s’agisse d’établissements de la maternelle à la terminale ou d’établissements d’enseignement supérieur — ont été victimes d’attaques par ransomware, ce qui représente une forte hausse par rapport aux 188 incidents au total signalés en 2022, selon un rapport récent intitulé « » ( ) publié par la Global Resilience Federation (GRF). Cette augmentation a fait passer le secteur de l'éducation de la 7 e à la 6 e place dans le classement établi par le GRF en fonction du nombre total d'attaques par secteur, par rapport à la période de référence précédente.
Après avoir suivi ces tendances, le gouvernement américain lance ce qui semble être une offensive tous azimuts pour s'attaquer à ce problème. Au cours des derniers mois, l' , la Maison Blanche, le Federal Bureau of Investigation (FBI), le ministère de l'Éducation (DOE) et d'autres agences ont publié une série de plans, de stratégies et de guides destinés à sensibiliser les enseignants aux meilleures pratiques en matière de cybersécurité .
Mais répondent-ils à cet appel ? Ou, pour aller droit au but, l'ont-ils seulement entendue ?
« Je suis depuis longtemps convaincu que le gouvernement aurait tout intérêt à créer un poste de directeur marketing afin de mieux faire connaître au grand public l’incroyable travail qu’il accomplit », déclare Parham Eftekhari, fondateur et président de l’Institute for Critical Infrastructure Technology (ICIT). Selon lui, le volume considérable de ressources produites par les pouvoirs publics est freiné par des efforts limités en matière de marketing et de communication. « Il est difficile pour les acteurs de n’importe quel secteur d’avoir une vision globale des documents d’orientation disponibles », explique-t-il.
« Cela doit changer », affirment les experts en cybersécurité. Le secteur de l'éducation constitue une cible trop alléchante, et les cybercriminels ne perdent pas de temps pour soutirer aux établissements scolaires chaque gigaoctet de données qu'ils peuvent obtenir.
Pourquoi les cyber-gangs ciblent-ils les établissements scolaires — et à quel moment ?
L'impact « » des attaques par ransomware sur les établissements scolaires est considérable. Selon le rapport « » du Government Accountability Office (GAO) des États-Unis, les pertes en matière d'apprentissage consécutives à une cyberattaque allaient de trois jours à trois semaines, le rétablissement complet après l'incident pouvait prendre jusqu'à neuf mois, et les pertes financières subies par les établissements scolaires variaient entre 50 000 dollars et 1 million de dollars.
« Le secteur de l’éducation constitue une cible de choix pour plusieurs raisons, mais la principale réside dans le retour sur investissement relativement élevé, compte tenu du volume considérable de données sur les élèves qui peuvent être vendues », explique Doug Thompson, architecte en chef chargé de l’éducation au sein de la société de logiciels de cybersécurité Tanium (qui publie ce magazine). Le moment choisi, ajoute-t-il, est un autre facteur.
Alors qu’il peut être difficile de prévoir la période la plus vulnérable d’une entreprise — cela nécessite une connaissance en profondeur du fonctionnement interne d’une entreprise et du secteur dans son ensemble —, les établissements scolaires fonctionnent selon des calendriers bien définis. « Les attaques ont tendance à se produire au début de l’année scolaire et au début du semestre de printemps, lorsque de très nombreux nouveaux étudiants arrivent sur le campus, que les équipes enseignantes changent et que le personnel informatique en place est accaparé par des tâches courantes telles que la réinitialisation des mots de passe et la maintenance de base des systèmes », explique M. Thompson.
Cette recrudescence des attaques par ransomware a également eu des répercussions sur les primes d'assurance cyber , qui ont connu une hausse vertigineuse de 51 %, selon un rapport de Fitch Ratings . Thompson conseille aux établissements d'enseignement de miser davantage sur l'd'investir dans la du personnel, les outils et les ressources autres que l'assurance cyber pour lutter contre cette tendance. « Nous commençons à observer un changement de paradigme imposé, qui s'éloigne de ce modèle, en raison de la gravité croissante de la hausse des coûts de l'assurance cyber, conjuguée à la transition des acteurs malveillants du chiffrement malveillant vers le vol pur et simple de données », explique-t-il.
Au premier plan de ces menaces pesant sur le secteur de l'éducation figure Vice Society, un groupe spécialisé dans les ransomwares, davantage connu pour ses attaques d'extorsion visant les secteurs de la santé et de l'industrie manufacturière. Selon un rapport conjoint intitulé « » ( ), publié à l’automne dernier par le FBI, l’Agence pour la cybersécurité et la sécurité des infrastructures (CISA) et le Centre multi-États de partage et d’analyse des informations, le groupe Vice Society a orchestré 21 attaques par ransomware contre le secteur de l’éducation au cours du second semestre de l’année 2022 , ainsi que 15 incidents au cours du premier semestre de l’année 2023. Juste derrière Vice Society se trouve LockBit 3,0, un groupe de ransomware à l'origine de 13 incidents au cours de la première moitié de l'année 2022 et de 25 incidents au cours de la première moitié de l'année 2023. Le groupe de ransomware « Cl0p » (récemment mis en cause dans la violation de données chez MOVEit, filiale d' ) a également connu une forte progression au cours du premier semestre de cette année, avec 13 incidents, selon le rapport.
Les programmes fédéraux et régionaux aident le secteur de l'éducation à lutter contre les risques liés à la cybersécurité
Face à la recrudescence des attaques par ransomware, le rapport du GRF souligne la nécessité de mettre en place des défenses solides, des politiques proactives et une collaboration à l'échelle du secteur.
«Il est difficile pour les parties prenantes, quel que soit le secteur, d’avoir une vision globale des documents d’orientation disponibles. »Parham Eftekhari, fondateur et président de l'Institute for Critical Infrastructure Technology
En juillet, la Maison Blanche a publié son plan de mise en œuvre de la stratégie nationale de cybersécurité « » (), qui identifie les infrastructures critiques du pays comme son premier pilier de défense et souligne la nécessité de renforcer la sécurité nationale et la sécurité publique. Ce document préconise l'harmonisation de la cybersécurité dans ces secteurs essentiels et identifie les investissements dans la collaboration et le développement des compétences en matière de cybersécurité comme des mesures indispensables pour protéger les infrastructures critiques du pays.
Dans le but de renforcer les défenses en matière de cybersécurité des systèmes scolaires nationaux de la maternelle à la terminale, l'administration Biden a annoncé en août une série de mesures stratégiques et d'engagements en matière de ressources. À la tête de cette initiative, la présidente de la Commission fédérale des communications (FCC), Jessica Rosenworcel, a proposé un programme pilote dans le cadre du Fonds de service universel, visant à allouer jusqu’à 200 millions de dollars sur trois ans aux mesures de cyberdéfense dans les établissements scolaires de la maternelle à la terminale et les bibliothèques.
Afin d'assurer une coordination efficace entre les responsables de l'éducation aux niveaux fédéral, des États, local, tribal et territorial, le ministère de l'Éducation prévoit également de mettre en place un Conseil de coordination gouvernemental. Selon le ministère de l'Éducation, le GCC jouera un rôle de premier plan dans les efforts visant à renforcer la résilience en matière de cybersécurité des établissements scolaires de la maternelle à la terminale, en facilitant la communication, l'élaboration de politiques et les activités de collaboration.
Par ailleurs, le DOE et la CISA ont publié conjointement des documents d'orientation exhaustifs et se sont engagés à fournir des évaluations sur mesure, à organiser des exercices de cybersécurité et à dispenser des formations en cybersécurité à 300 nouveaux établissements scolaires de la maternelle à la terminale au cours de la prochaine année scolaire. Le FBI et le Bureau de la Garde nationale contribuent également à cet effort en mettant à jour les guides de ressources afin de garantir que les responsables des États disposent des moyens nécessaires pour signaler les incidents de cybersécurité et exploiter efficacement les capacités fédérales en matière de cyberdéfense.
C'est ici que commence le renforcement de la sécurité dans les établissements scolaires
Certaines de ces initiatives gouvernementales pourraient être en partie motivées par un rapport inquiétant du GAO intitulé « » ( ), publié l'année dernière, dans lequel cet organisme de contrôle a mis en évidence un déficit de communication majeur. « Il n'existe aucun mécanisme officiel permettant aux agences de se coordonner entre elles ou avec les établissements scolaires de la maternelle à la terminale pour faire face aux risques ou aux incidents liés à la cybersécurité », indique le rapport. Le GAO a formulé des recommandations visant à améliorer la coordination de l'aide en matière de cybersécurité entre les différentes agences.
«Les agressions ont tendance à se produire au début de l’année scolaire et au début du semestre de printemps, lorsque de très nombreux nouveaux étudiants arrivent sur le campus. »Doug Thompson, architecte en chef chargé de la formation chez Tanium
Un autre obstacle, moins souvent évoqué mais néanmoins important, réside dans la réceptivité des responsables scolaires face à ce qui doit leur apparaître comme un déferlement d'informations nouvelles et complexes. Malgré leur importance cruciale, les recommandations publiées par les organismes gouvernementaux peuvent sembler accablantes pour certains, reconnaît M. Eftekhari, de l’ICIT.
Il existe toutefois quelques premières mesures relativement simples que même les responsables les moins familiarisés avec le numérique peuvent prendre pour renforcer la sécurité de leur établissement. Commencez par ces quatre-là :
1. Restez à l'affût des dernières informations
Selon M. Eftekhari, les enseignants devraient s'abonner aux alertes diffusées par des organismes tels que l'Institut national des normes et des technologies (NIST), la CISA, le DOE et l'ICIT afin de diversifier leurs sources d'information. Il suggère également de configurer des alertes Google pour des mots-clés pertinents, tels que « cybersécurité dans le secteur de l'éducation » et « recommandations fédérales à l'intention des formateurs en cybersécurité », afin de vous tenir informé des dernières actualités et informations.
2. Susciter très tôt l'intérêt pour la cybersécurité
Les enseignants devraient réfléchir à la manière dont les programmes scolaires et les activités extrascolaires peuvent susciter l'intérêt et l'enthousiasme pour les carrières dans les domaines des sciences et des mathématiques, explique M. Eftekhari. « Bien que la CISA, le NIST, le ministère de l'Éducation et d'autres agences aient soutenu et continueront de soutenir des programmes axés sur la formation à la cybersécurité et le développement des compétences professionnelles, il est urgent que les enseignants innovent et ouvrent la voie à une nouvelle ère d'apprentissage numérique. »
3. Ne vous contentez pas d'investir dans du matériel
« Trop souvent, les établissements scolaires se concentrent exclusivement sur l’installation d’un nombre X d’ordinateurs dans les salles de classe afin de faciliter l’apprentissage des élèves », fait remarquer M. Thompson, de Tanium. « Une technologie en classe sans les mesures de sécurité adéquates est plus dangereuse que l'absence d'appareils », affirme-t-il.
Comment les établissements scolaires disposant de budgets limités parviennent-ils à financer des plateformes de cybersécurité coûteuses et à employer du personnel informatique ? Ils partagent.
Dans le cadre d’une tendance qui ne cesse de prendre de l’ampleur, de nombreuses communes et circonscriptions scolaires (de la maternelle à la terminale) adoptent une solution d’ à l’échelle de l’État, «», en s’associant et en mettant leurs ressources en commun. Cette approche encourage l'État à apporter son soutien à la gestion de la cybersécurité des petites collectivités locales, des établissements scolaires et des entités tribales, en leur proposant des outils pré-approuvés, des renseignements sur les menaces, des canaux de signalement sécurisés, des formations ou des financements, afin de renforcer leurs cyberdéfenses.
4. Faites appel à des experts
« N'hésitez pas à contacter un agent de terrain du FBI de votre région ainsi que le responsable régional de la CISA pour obtenir des conseils supplémentaires sur la manière de commencer à renforcer les défenses de votre établissement en matière de cybersécurité », ajoute M. Eftekhari. D'autres experts sont disponibles au sein d'associations telles que l'Association nationale des comtés et l'Association des services administratifs scolaires.
Les enseignants devraient également se tourner vers la section locale d'un groupe spécialisé dans la cybersécurité — InfraGard, les Cybersecurity Collaboration Forums, l'ISACA, ISC2, pour n'en citer que quelques-uns — et voir quelles ressources et quel soutien ceux-ci peuvent leur apporter. Tout comme les élèves qui peuvent se montrer réticents au départ à l'idée de s'essayer à des activités extrascolaires, les responsables scolaires constateront que ces efforts de sensibilisation en valent largement la peine, conseille M. Eftekhari.
« La communauté de la cybersécurité est un réseau de professionnels accueillant et axé sur l'esprit communautaire », déclare-t-il. « Ils sont presque toujours disposés à consacrer du temps à notre mission commune en faveur de la résilience et de la sécurité nationale. »
