Violation de données chez DC Public Schools en 2026

Une lettre envoyée par DCPS aux familles décrivait un possible accès non autorisé aux informations de l’application web et énumérait les catégories de données potentiellement concernées. DCPS a indiqué avoir fait appel au D.C. Office of the Chief Technology Officer, retiré les données des élèves de l’application et informé les forces de l’ordre.

NBC4 Washington a présenté en détail la lettre et les déclarations des responsables de DCPS. WUSA9 a confirmé de manière indépendante que les familles avaient été informées d’un possible incident de cybersécurité, tandis que le FBI a indiqué qu’il se coordonnait avec ses partenaires.

Un tiers non autorisé a peut-être accédé aux informations de l’application web utilisée pour les inscriptions à DCPS Summer Learning. L’application contenait des informations sur les élèves participant aux programmes périscolaires et d’été, principalement dans les écoles primaires.

DCPS n’a communiqué ni la date du premier accès, ni la durée de cet accès, ni la méthode d’intrusion. Le 1er juillet sert uniquement de date indicative pour situer l’incident dans le mois au sein du catalogue; il n’est pas présenté comme le jour de l’attaque ou de sa découverte.

Les types de données mentionnés sont les noms des élèves, leurs numéros d’identification, leurs dates de naissance, leurs écoles et leurs niveaux de classe, les noms des parents ou tuteurs, les adresses personnelles et les numéros de téléphone. Les sources ne permettent pas d’établir que tous ces champs étaient présents pour chaque élève.

Les numéros de sécurité sociale, les informations financières, les mots de passe et les dossiers médicaux ne figuraient pas parmi les catégories de données mentionnées pour cet incident. Aucun type de données absent des sources n’a été ajouté sur la base d’hypothèses de risque.

DCPS n’a pas publié de décompte définitif des élèves ou des familles concernés. Les responsables ont indiqué que l’incident concernait une application contenant des informations provenant de 55 écoles; ce chiffre désigne les écoles participantes, et non les personnes touchées.

Faute de décompte public vérifié des personnes concernées, leur nombre est indiqué comme non communiqué. Les mentions de « milliers d’élèves » dans la presse ne constituent pas un décompte précis, sans doublons, et ne sont pas utilisées comme nombre de personnes touchées dans le catalogue.

Le nom, la date de naissance, l’école, le niveau de classe et l’adresse personnelle d’un élève peuvent être combinés pour créer des messages qui semblent spécialement destinés à l’enfant ou à son tuteur. Les fraudeurs peuvent prendre pour prétexte les inscriptions scolaires, les programmes d’été, les transports ou des urgences.

DCPS a indiqué n’avoir connaissance d’aucune utilisation abusive au moment de ses déclarations. C’est un élément positif, mais cela ne garantit pas que les informations ne seront pas utilisées ultérieurement. Les informations permettant d’identifier les enfants pouvant rester valables pendant des années, cette fiche est considérée comme sensible.

Vérifiez par un canal indépendant les appels, courriels et messages inattendus dont les auteurs prétendent représenter une école ou DCPS. N’utilisez pas les liens qui demandent des numéros d’identification d’élèves, des dates de naissance, des adresses ou des mots de passe de comptes; contactez plutôt l’école au numéro que vous connaissez ou rendez-vous sur le domaine officiel dcps.dc.gov.

Si vous découvrez au nom d’un enfant un compte, une demande ou un avis concernant un service que vous ne reconnaissez pas, contactez directement l’organisme concerné et consignez l’incident. Utilisez des mots de passe uniques et l’authentification multifacteur pour les comptes de messagerie de la famille, et apprenez aux enfants à montrer à un adulte de confiance toute demande inattendue d’informations personnelles.