Une vague de cyberattaques a touché plus d'une douzaine de réseaux scolaires de la maternelle à la terminale en cette période de rentrée scolaire, dans la foulée d'une recrudescence générale des attaques contre les établissements scolaires américains au cours du premier semestre de 2023. Et Doug Levin, pour sa part, n'est pas surpris.
En tant que cofondateur et directeur national de K12 Security Information eXchange (K12 SIX), une organisation à but non lucratif de premier plan dans le secteur de l'éducation, M. Levin (sur la photo, à droite) supervise l'élaboration de bonnes pratiques en matière de cybersécurité afin de contribuer à la protection des établissements scolaires contre les cybermenaces.
À l’instar de Tom Cruise dans le dernier film « » « Mission : Impossible » , aux prises avec une intelligence artificielle agressive , M. Levin se retrouve de plus en plus impliqué dans une cyberbataille opposant l’homme à la machine, s’efforçant de protéger les districts scolaires contre les cyberattaques, mais sans les voitures de sport et les motos racées que Cruise a le privilège de conduire. Après tout, le budget de l'association à but non lucratif de Levin a ses limites.
Le ransomware « » frappe de plein fouet le secteur de l'éducation cette année. De janvier à juin, plus de 120 établissements scolaires — qu’il s’agisse d’établissements de la maternelle à la terminale ou d’établissements d’enseignement supérieur — ont été victimes d’attaques par ransomware, contre un total de 188 sur 2022, selon un rapport récent intitulé « » ( ) publié par la Global Resilience Federation. Et ces chiffres ne manqueront pas de s'aggraver en raison de l'IA, qui sera de plus en plus utilisée par des groupes de cybercriminels (ainsi que des adolescents mécontents, sans aucun doute), selon les experts.
La situation est particulièrement difficile dans le secteur de l'enseignement primaire et secondaire, qui subit en moyenne plus d'un incident cybernétique par jour d'école, selon l'Agence américaine de cybersécurité et de sécurité de l'information (CISA). Nous pourrions dépasser ce chiffre cette année : rien qu’en août, des groupes spécialisés dans les rançongiciels ont revendiqué 11 nouvelles attaques contre des réseaux scolaires de la maternelle à la terminale, notamment dans des districts du New Jersey, du Colorado, de l’État de Washington et des zones rurales de l’Alaska, comme le souligne une analyse intitulée « » (Les attaques de rançongiciels dans les écoles américaines ont atteint un niveau record en août) publiée par The 74, un site d’information à but non lucratif consacré à l’éducation. Ce mois-ci, une faille de sécurité a été constatée au sein des écoles publiques du comté de Hillsborough, en Floride, qui constituent le septième plus grand district scolaire des États-Unis, et une attaque par rançongiciel a visé le district scolaire de Chambersburg, en Pennsylvanie, entraînant la fermeture des établissements pendant trois jours.
[À lire également : Qu'est-ce que la cyber-résilience ?] (s'ouvre dans un nouvel onglet)
La situation est tout aussi préoccupante au Royaume-Uni, où une vague de cyberattaques a touché au moins quatre campus depuis la rentrée scolaire.
Que doit donc faire un responsable d'établissement scolaire ou un enseignant lorsqu'une attaque par ransomware se produit ? « Ne payez pas la rançon », conseillent à la fois la CISA et le Federal Bureau of Investigation (FBI). D'accord… mais ensuite ? Dans un entretien exclusif accordé à « » à l’, responsable de Focal Point, M. Levin (qui vient d’être nommé cette année au Comité consultatif sur la cybersécurité de la CISA) explique les vulnérabilités spécifiques des établissements scolaires et indique des ressources permettant de renforcer les défenses face aux cyberattaques inévitables.
[L'entretien ci-dessous a été remanié pour des raisons de clarté et de concision.]
Toute organisation victime d'un rançongiciel en subit les conséquences, mais pour les établissements scolaires, la situation est particulièrement difficile. Quels sont les défis propres au secteur de l'éducation ?
Je dirais qu’il existe trois aspects principaux qui rendent les attaques par ransomware visant les réseaux scolaires particulières.
«Les réseaux scolaires recèlent une mine d’informations sensibles concernant non seulement les élèves et le personnel actuels, mais également les personnes ayant été associées au réseau scolaire par le passé, notamment les bénévoles, les prestataires [et] les membres du conseil d’établissement. »Doug Levin, cofondateur et directeur national de K12 SIX
Tout d’abord, dans de nombreux cas, les attaques par ransomware s’accompagnent également d’une exfiltration de données, et les réseaux scolaires recèlent une mine d’informations sensibles d’ concernant non seulement les élèves et le personnel actuels, mais également les personnes ayant été associées au réseau scolaire par le passé, notamment les bénévoles, les prestataires, les membres du conseil d’établissement et d’autres personnes.
Cela fait beaucoup de comptes bancaires et de numéros de Sécurité sociale.
Les données conservées peuvent également porter sur des éléments aussi variés que des rapports psychologiques et médicaux, des antécédents judiciaires, des problèmes juridiques, des situations liées au logement telles que le sans-abrisme, les ruptures familiales ou les ordonnances de protection, le statut migratoire, le genre et l'identité religieuse, etc. Si les victimes sont exposées à l'usurpation d'identité par le biais de fraudes au crédit ou de fraudes fiscales, elles peuvent également subir d'autres préjudices en raison de la nature des données collectées par les établissements scolaires.
D'autre part, les établissements scolaires disposent de ressources très limitées. Lorsqu'on prend en compte les coûts à moyen et long terme liés à la gestion des incidents et à la restauration des données suite à des attaques par ransomware, les réseaux scolaires victimes de ces attaques risquent de devoir dépenser des millions de dollars pour remettre leurs systèmes en état. Il s'agit là de fonds qui finissent inévitablement par être détournés d'autres priorités du système scolaire, telles que l' l'enseignement et l'apprentissage.
Troisièmement, lorsqu'un établissement scolaire est victime d'une attaque par ransomware, il arrive parfois qu'il ferme ses portes. Lorsque les élèves ne peuvent pas se rendre à l'école, les parents et les personnes qui s'occupent d'eux doivent trouver d'autres solutions ; les élèves risquent de ne pas pouvoir bénéficier des repas scolaires ou d'autres ressources proposées par l'établissement et, bien sûr, leur scolarité s'en trouve interrompue.
Nous avons entendu dire que les établissements scolaires ont tendance à enregistrer une recrudescence des cyberattaques à l'automne, au moment de la rentrée, avec l'arrivée de nouveaux élèves et de nombreux changements.
La rentrée scolaire est en effet une période délicate pour les établissements scolaires. Les cybercriminels ont montré qu'ils savaient que les réseaux scolaires sont particulièrement vulnérables en début d'année scolaire et pendant les vacances scolaires, comme celles de Thanksgiving. Dans ces circonstances, le personnel informatique des établissements d'enseignement primaire et secondaire pourrait ne pas être en mesure de surveiller les réseaux scolaires d'aussi près, et le personnel pourrait se montrer moins vigilant face aux tentatives d'hameçonnage.
Vice Society est un gang cybercriminel bien connu pour ses attaques contre des établissements scolaires. A-t-on une idée des raisons pour lesquelles Vice cible le secteur de l'éducation ? Ces jeunes ont-ils été sanctionnés par leurs proviseurs une fois de trop ? Je veux dire, parmi toutes les cibles possibles, dont beaucoup disposent de comptes en banque bien plus garnis, pourquoi se concentrer exclusivement sur les écoles ?
Vice Society n'est qu'un des nombreux groupes criminels étrangers qui ciblent le secteur de l'éducation par le biais de la cybercriminalité. Même si l'on ne considère généralement pas les systèmes scolaires comme des organisations fortunées, ces groupes ont constaté que, compte tenu de la relative immaturité de leurs systèmes de défense, ceux-ci offrent un bon rendement en cas de cyberattaques. Leur principale motivation est l'argent et, qu'ils ciblent des écoles ou des hôpitaux, ils ne se soucient absolument pas des répercussions plus larges de leurs attaques.
Que peuvent donc faire les responsables scolaires pour renforcer leurs cyberdéfenses ? Par où commencent-ils ?
While there is no shortage of guidance for organizations looking to shore up their cybersecurity risk management practices, we’d encourage school systems to look for K-12–specific guidance.
Chez K12 SIX, nous avons élaboré un ensemble de mesures de cybersécurité de base que, selon nous, chaque réseau scolaire devrait mettre en œuvre. (Cliquez ici sur « » pour en savoir plus.)
Nous encourageons également les responsables scolaires à s'appuyer sur les conseils et recommandations du guide « K-12–specific » élaborés par la CISA. (Cliquez ici pour consulter ces recommandations fédérales.)
