Une augmentation des cyberattaques a frappé plus d’une douzaine de systèmes scolaires de l’K-12 secondaire au cours de la saison scolaire actuelle, suite à une augmentation des attaques contre les écoles américaines dans l’ensemble au cours du premier semestre de 2023. Et Doug Levin, pour l’un, n’est pas surpris.
En tant que cofondateur et directeur national de K12 Security Information eXchange (K12 SIX), une organisation à but non lucratif de premier plan dans le secteur de l’éducation, Levin (photo de droite) guide la formulation des meilleures pratiques de cybersécurité pour aider à protéger les écoles contre les cybermenaces.
Comme Tom Cruise dans le dernier film Mission : Impossible , confronté à une intelligence artificielle agressive, Levin se trouve de plus en plus impliqué dans une cyberbatte homme-machine, essayant de défendre les districts scolaires contre les cyberattaques, mais sans ces voitures de sport et motos dramatiques que Cruise peut conduire. Après tout, le budget de l’organisme à but non lucratif de Levin a ses limites.
Les rançongiciels frappent le secteur de l’éducation cette année. De janvier à juin, plus de 120 écoles, à la fois K-12 et secondaire et des établissements d’enseignement supérieur, ont subi des attaques par ransomware, contre 188 au total en 2022, selon un rapport récent de la Fédération mondiale de résilience. Et ces chiffres sont destinés à s’aggraver grâce à l’IA, qui sera de plus en plus utilisée par les cybergangs (et les adolescents mécontents, sans aucun doute), déclarent des experts.
C’est particulièrement difficile dans le secteur de l’K-12, qui subit plus d’un cyber-incident par jour scolaire, en moyenne, selon la Cybersecurity and Information Security Agency (CISA) des États-Unis. Cette année, nous pouvons être en tête de cette statistique : en août seulement, les gangs de ransomwares ont réclamé le crédit pour 11 nouvelles attaques contre les systèmes scolaires de l’K-12, y compris les districts du New Jersey, du Colorado, de l’État de Washington et de l’Alaska rurale, note une analyse de The 74, un site d’actualités éducatif à but non lucratif. Ce mois-ci, nous avons assisté à une violation des écoles publiques du comté de Hillsborough en Floride, le septième plus grand district des États-Unis, et à une attaque par rançongiciel sur le district scolaire de la région de Chambersburg en Pennsylvanie qui a fermé les écoles pendant trois jours.
[Lire également : Qu’est-ce que la cyber-résilience ?]
La tendance est tout aussi grave au Royaume-Uni, où une série de cyberattaques a frappé au moins quatre campus depuis le début de l’année scolaire.
Alors, qu’est-ce qu’un administrateur scolaire ou un éducateur doit faire lorsque le ransomware frappe ? Ne payez pas la rançon, le CISA et le Federal Bureau of Investigation (FBI) conseillent. OK... mais alors quoi ? Dans un entretien exclusif avec Focal Point, Levin (qui vient d’être nommé cette année au Comité consultatif de cybersécurité de la CISA) explique les vulnérabilités uniques des écoles et pointe vers des ressources pour étayer les défenses contre l’inévitable cyberattaque.
[L’entretien suivant a été modifié pour plus de clarté et de longueur.]
Toutes les organisations touchées par les rançongiciels en souffrent, mais pour les écoles, c’est particulièrement difficile. Quels sont les points faibles propres au secteur de l’éducation ?
Je dirais qu’il existe trois manières principales dont les attaques par rançongiciel contre les systèmes scolaires sont uniques.
« Les systèmes scolaires détiennent un trésor d’informations sensibles non seulement sur les étudiants et le personnel actuels, mais également sur ceux associés au système scolaire dans le passé, y compris les bénévoles, les fournisseurs, [et] les membres du conseil d’administration scolaire. »Doug Levin, cofondateur et directeur national, K12 SIX
Tout d’abord, dans de nombreux cas, les attaques par ransomware impliquent également l’exfiltration de données, et les systèmes scolaires détiennent un trésor d’ informations sensibles sur non seulement les étudiants et le personnel actuels, mais également ceux associés au système scolaire dans le passé, y compris les bénévoles, les fournisseurs, les membres du conseil scolaire et autres.
C’est beaucoup de comptes bancaires et de numéros de sécurité sociale.
Les données détenues peuvent également inclure tout ce qui va des rapports psychologiques et médicaux à l’implication dans les forces de l’ordre, des questions juridiques, des questions de statut du domicile liées à l’itinérance, des maisons cassées ou des ordonnances de protection, du statut d’immigration, du sexe et de l’identité religieuse, etc. Bien que les victimes soient sujettes à l’usurpation d’identité via la fraude au crédit ou la fraude fiscale, elles peuvent également subir d’autres préjudices en raison de la nature des données collectées par les écoles.
Deuxièmement, les écoles sont fortement limitées en ressources. Lors du comptage des coûts à moyen et long terme de réponse et de récupération après les attaques par rançongiciel, les systèmes scolaires victimes de rançongiciels peuvent finir par dépenser des millions de dollars pour remédier à leurs systèmes. Il s’agit d’argent qui finit nécessairement par être détourné d’autres priorités du système scolaire, telles que l’ enseignement et l’apprentissage.
Troisièmement, lorsqu’un système scolaire est perturbé par un rançongiciel, ils ferment parfois leurs portes. Lorsque les élèves ne peuvent pas venir à l’école, les parents et les soignants doivent prendre d’autres dispositions, les élèves peuvent manquer de bénéficier des repas scolaires ou d’autres ressources scolaires, et, bien sûr, leur éducation est interrompue.
Nous avons entendu dire que les écoles ont tendance à voir une hausse des cyberattaques se produire à l’automne, à mesure que l’école commence, que de nouveaux élèves arrivent et que beaucoup de choses sont en flux.
Le début de l’année scolaire est en effet une période difficile pour les systèmes scolaires. Les acteurs malveillants ont montré qu’ils comprennent que les systèmes scolaires sont particulièrement vulnérables au début de l’année scolaire et pendant les vacances scolaires comme Thanksgiving. À ce moment-là, le personnel informatique des établissements K-12 peut ne pas être en mesure de surveiller les réseaux scolaires de près et le personnel peut être moins prudent dans la réponse aux appâts de phishing.
Vice Society est un cybergang bien connu pour attaquer les écoles. Y a-t-il des informations sur les raisons pour lesquelles Vice cible le secteur de l’éducation ? Ces gars ont-ils été punis par leurs dirigeants une fois de trop ? Je veux dire, étant donné toutes les cibles possibles, beaucoup avec des comptes bancaires beaucoup plus grands, pourquoi le laser se concentre-t-il sur les écoles ?
La Vice Society n’est qu’un des nombreux groupes criminels étrangers qui ciblent le secteur de l’éducation avec la cybercriminalité. Bien que nous ne considérions pas les systèmes scolaires comme des organisations riches, ces groupes ont constaté que, étant donné les défenses relativement immatures des systèmes scolaires, ils offrent un bon retour sur les cyberattaques. Leur motivation principale est l’argent et, qu’ils ciblent des écoles ou des hôpitaux, ils ne se soucient vraiment pas des ramifications plus larges de leurs attaques.
Que peuvent donc faire les administrateurs scolaires pour stimuler leurs cyberdéfenses ? Où commencent-ils ?
Bien qu’il n’y ait pas de pénurie de conseils pour les organisations qui cherchent à consolider leurs pratiques de gestion des risques de cybersécurité, nous encourageons les systèmes scolaires à rechercher des conseils K-12–specific .
Au K12 SIX, nous avons produit un ensemble de contrôles de cybersécurité de référence que nous pensons que chaque système scolaire doit mettre en œuvre. (Cliquez ici pour en savoir plus.)
Nous encourageons également les administrateurs scolaires à se fier aux conseils et directives K-12–specific produits par la CISA. (Cliquez ici pour obtenir ces directives fédérales.)
