Exposition présumée de données chez CCAA

La fiche CCAA contient des adresses e-mail et des mots de passe. Le hachage d’un mot de passe peut empêcher un attaquant de le lire directement; le risque subsiste toutefois pour les mots de passe faibles et les schémas de création réutilisés. Sur les plateformes éducatives, les utilisateurs peuvent employer la même adresse e-mail pour les cours, les établissements scolaires, les paiements, les portails étudiants et leurs comptes personnels. Les attaquants peuvent donc utiliser la liste d’adresses e-mail pour des tentatives d’hameçonnage, de fausses notifications de cours ou des attaques visant à deviner les mots de passe. Les noms, numéros de téléphone, informations de paiement, notes des étudiants et données de vérification d’identité ne sont pas inclus dans cette fiche, car leur présence n’est pas vérifiée.

La fiche CCAA figure dans des registres publics de violations de données avec environ 975 000 lignes correspondant à des utilisateurs, mais elle n’a pas le statut de fiche vérifiée, faute de déclaration officielle détaillée. Les catégories de données étayées sont les adresses e-mail et les mots de passe. Selon les informations disponibles, les mots de passe sont stockés dans un format de hachage de type WordPress : il ne faut donc pas présenter cet incident comme une fuite de mots de passe en clair. Cela ne rend toutefois pas leur réutilisation sûre. Cette description n’affirme pas que des profils d’étudiants, des notes, des inscriptions à des cours ou des données de paiement ont été divulgués. Le risque tient à la circulation conjointe de l’adresse e-mail du compte éducatif et de l’empreinte de hachage du mot de passe.

Les étudiants de CCAA, les anciens participants aux formations, les parents, les enseignants et les personnes qui utilisent la même adresse e-mail pour différents services éducatifs sont exposés à un risque. Si le mot de passe du compte CCAA est également utilisé pour la messagerie, un portail scolaire, les réseaux sociaux ou des services de paiement, des attaquants peuvent tenter d’accéder à ces comptes. Comme les messages liés à l’éducation paraissent dignes de confiance, de faux e-mails concernant un examen, le renouvellement d’un cours, un rappel de paiement ou un certificat peuvent sembler plus convaincants. Les jeunes utilisateurs et les titulaires de comptes familiaux doivent se montrer particulièrement vigilants face à ces messages.

Les utilisateurs pour lesquels une correspondance avec CCAA est détectée doivent changer le mot de passe utilisé pendant la période concernée et sécuriser tous les comptes sur lesquels ce même mot de passe est réutilisé. La vérification en deux étapes doit être activée sur le compte de messagerie, et les liens relatifs aux formations ou aux cours ne doivent pas être utilisés en dehors du canal officiel. Si une demande de paiement arrive par l’intermédiaire d’un compte d’étudiant ou de parent, elle doit être vérifiée directement auprès de l’établissement, par son canal de communication habituel. Même si le mot de passe apparaît sous forme hachée, il faut garder à l’esprit qu’un mot de passe court ou prévisible peut être rapidement cassé.

Pour les comptes liés à l’éducation, il convient de séparer la messagerie personnelle, la messagerie scolaire et les comptes de paiement. Chaque plateforme éducative doit avoir un mot de passe unique, et l’utilisation d’un gestionnaire de mots de passe est à privilégier. Les parents doivent vérifier que les comptes de leur enfant ou du jeune utilisateur ne partagent pas le même mot de passe. Lorsqu’un e-mail provient d’un organisme de formation ou d’un service de certification, il faut se connecter en passant par le nom de domaine connu plutôt que par les liens du message. Les anciens comptes éducatifs inutilisés doivent être fermés ou, au minimum, dotés d’un mot de passe fort et unique.

Si la vérification LeakData révèle une correspondance avec CCAA, l’utilisateur doit y voir un risque pour l’adresse e-mail de son compte de formation et l’empreinte de hachage de son mot de passe. La fiche n’a pas le statut de fiche vérifiée; il faut néanmoins agir, compte tenu des quelque 975 000 enregistrements et de la présence de champs de mots de passe. La première étape consiste à changer le mot de passe de tous les comptes qui utilisent le même, la deuxième à renforcer la sécurité du compte de messagerie avec l’authentification à deux facteurs, et la troisième à se méfier des faux messages liés à la formation ou au paiement. Une correspondance ne signifie pas que des données de paiement ou des notes ont été divulguées. Cette distinction permet à l’utilisateur de comprendre le risque réel sans être induit en erreur par des affirmations superflues sur les données concernées.