Violation de données de Bellflower USD en 2025

La fiche officielle de l’Indiana indique le 22 juillet 2025 comme date de survenue de la violation. Selon la chronologie publiée par Bellflower, son équipe informatique a détecté l’activité anormale début août et a immédiatement commencé à sécuriser le réseau.

Ces dates correspondent à des étapes différentes : la date de survenue inscrite dans la fiche d’une autorité de contrôle ne coïncide pas nécessairement avec la période où l’interruption de service a été détectée. Le 15 avril 2026, l’enquête a établi qu’un tiers non autorisé avait pu accéder à certaines données personnelles; les notifications ont été envoyées le 12 juin 2026.

Bellflower a déclaré que l’incident n’avait touché que les serveurs locaux, sans affecter les bases de données hébergées dans le cloud. Aeries, le système contenant les données actuelles des élèves, n’a pas non plus été touché.

Le serveur touché contenait certains dossiers anciens d’élèves, de parents et d’employés. Il ne faut donc pas en déduire que l’incident concernait tous les dossiers actuels des élèves ou l’ensemble des systèmes du district.

Le modèle de notification rendu public confirme que les prénoms et noms font partie des données concernées. Des articles de presse indépendants consacrés au même incident indiquent également que les numéros de sécurité sociale de certains destinataires des notifications étaient concernés.

Les données concernées peuvent varier d’une personne à l’autre. Les documents publics ne permettent de confirmer ni la présence de mots de passe ni celle de données de cartes de paiement, et n’étayent pas non plus une liste plus large de données qui s’appliquerait à tous les dossiers. Ces catégories ne sont donc pas incluses dans le périmètre confirmé.

Un nom associé à un numéro de sécurité sociale peut accroître le risque d’usurpation d’identité, de demandes de crédit frauduleuses et d’escroqueries ciblées crédibles. Le fait qu’un dossier soit ancien ne rend pas un numéro d’identification inoffensif.

Les personnes concernées doivent se méfier des messages inattendus prétendant provenir du district, d’un service de protection de l’identité ou d’un organisme public. Un message contenant des données personnelles exactes n’est pas nécessairement authentique.

Les destinataires des notifications doivent se référer aux données mentionnées dans leur propre courrier, examiner régulièrement leurs rapports de crédit ainsi que les nouvelles consultations de leur dossier de crédit, et se renseigner sur les comptes ou demandes de crédit qu’ils ne reconnaissent pas en utilisant des canaux de contact vérifiés.

Toute personne dont le numéro de sécurité sociale était concerné peut envisager de mettre en place une alerte à la fraude ou un gel de son dossier de crédit, selon sa situation. Bellflower a également proposé gratuitement une surveillance du crédit et une protection contre l’usurpation d’identité aux personnes ayant reçu une notification.

Pour vous inscrire, utilisez uniquement les informations figurant dans la lettre qui vous a été adressée directement ou sur le site officiel du district. Ne communiquez jamais votre numéro de sécurité sociale complet, un mot de passe ou un code de vérification lors d’un appel non sollicité.

Le périmètre confirmé comprend la violation datée du 22 juillet 2025 dans la fiche officielle, la perturbation du réseau détectée début août, le total national de 22 802 personnes touchées, ainsi que les noms et numéros de sécurité sociale concernés, les données variant selon les destinataires. La revendication de Rhysida relayée publiquement n’a pas été reconnue par le district et n’est pas considérée ici comme une attribution confirmée de l’incident.