Fuite de données Edmodo de 2017

Les types de données vérifiés sont les adresses e-mail, les mots de passe et les noms d’utilisateur. Le champ du mot de passe doit être évalué comme une empreinte au format bcrypt. Ce format présente un risque plus limité qu’une fuite de mots de passe en clair, mais il ne supprime pas le danger. Les attaquants peuvent essayer des mots de passe faibles, des mots de passe réutilisés et des variantes d’anciens mots de passe. L’association du nom d’utilisateur et de l’adresse e-mail peut rendre plus convaincants des messages d’hameçonnage prenant la forme de fausses notifications scolaires, d’alertes relatives au compte ou de demandes de réinitialisation du mot de passe.

Le contexte d’une plateforme éducative élargit le public susceptible d’être ciblé. Les élèves, les enseignants et les parents communiquant par l’intermédiaire du même service, les attaquants peuvent tenter de les tromper avec des messages évoquant le nom de l’établissement, une classe, un devoir, un cours en ligne ou une mise à jour du compte. Pour cet incident, les données de cartes de paiement, les données issues de pièces d’identité officielles, les données de santé et le contenu des messages privés ne doivent pas être considérés comme des types de données vérifiés. L’évaluation du risque doit se concentrer sur les trois éléments suivants : l’adresse e-mail, le nom d’utilisateur et l’empreinte du mot de passe.

La date retenue pour l’incident est le 11 mai 2017, et la date d’ajout vérifiée est le 1er juin 2017. Le périmètre comprend 43 423 561 adresses e-mail uniques et environ 77 millions de lignes au total. Cet écart peut s’expliquer par plusieurs enregistrements appartenant au même utilisateur, des comptes sans adresse e-mail ou des doublons dans le jeu de données. L’impact réel présenté à l’utilisateur doit donc être évalué à partir du nombre de comptes uniques.

Le domaine d’Edmodo a été vérifié : il s’agit d’edmodo.com. Le pays de l’entreprise a été enregistré comme étant les États-Unis, et son secteur comme celui des technologies éducatives. L’incident est signalé comme une fuite de données confirmée, et l’indicateur de données sensibles est désactivé, car les types de données vérifiés se limitent aux identifiants de connexion, sans inclure de contenus privés liés aux enfants ou à l’éducation. Néanmoins, dans ce contexte éducatif, l’hameçonnage, la réutilisation des mots de passe et le ciblage de la communauté scolaire constituent des risques importants.

Le groupe le plus exposé comprend les élèves, les enseignants, les parents et le personnel scolaire qui utilisent sur d’autres services le même mot de passe que pour leur compte Edmodo. Si ce mot de passe est également utilisé pour des comptes de messagerie, des systèmes d’information scolaires, des services de fichiers dans le cloud ou des comptes de réseaux sociaux, le risque de prise de contrôle de ces comptes augmente. L’ancienneté d’une fuite ne garantit pas à elle seule la sécurité : si l’utilisateur a continué à employer le même mot de passe en le modifiant légèrement au fil des années, le risque reste présent.

Pour les organisations, le risque tient au ciblage des domaines de messagerie scolaire et des noms d’utilisateur dans des campagnes d’hameçonnage. Si des comptes d’enseignants ou d’administrateurs sont compromis, ils peuvent servir à élaborer des scénarios de fraude plus convaincants visant les élèves et les parents. Pour les comptes de parents et d’élèves, de fausses notifications de devoirs, des annonces concernant la classe ou des liens de réinitialisation du mot de passe peuvent être efficaces. Les organisations doivent donc agir non seulement sur le changement individuel des mots de passe, mais aussi sur la sensibilisation collective et les contrôles de sécurité de la messagerie.

La première étape consiste à vérifier si des mots de passe sont réutilisés sur les comptes dont l’adresse e-mail ou le nom d’utilisateur est identique à celui du compte Edmodo. Si le même mot de passe, ou un mot de passe similaire, est utilisé sur d’autres comptes, il convient de choisir un mot de passe unique, long et aléatoire pour chaque service. Un gestionnaire de mots de passe rend cette démarche plus fiable. Les vérifications doivent porter en priorité sur les comptes de messagerie, les comptes scolaires, le stockage dans le cloud, les réseaux sociaux et les comptes financiers.

L’authentification multifacteur doit être activée sur tous les comptes qui la prennent en charge. Le compte de messagerie doit être particulièrement bien protégé, car les liens de réinitialisation des mots de passe y sont souvent envoyés. Les utilisateurs doivent se méfier des notifications scolaires inattendues, des pièces jointes suspectes, des fausses pages de connexion et des messages demandant un renouvellement urgent du mot de passe. Du côté des établissements, il convient de renforcer les protections contre l’usurpation de domaine, les filtres de messagerie, les contrôles de la sécurité des connexions et les habitudes de vérification dans les échanges entre enseignants et parents.

À long terme, la réutilisation des mots de passe doit être totalement évitée. Un mot de passe unique pour chaque compte, l’authentification multifacteur lorsqu’elle est disponible et la vérification régulière des sessions doivent constituer des règles de sécurité de base. Les établissements d’enseignement doivent sensibiliser davantage les élèves et les enseignants à la sécurité des comptes, et expliquer clairement que d’anciennes fuites de données peuvent encore servir à des tentatives de prise de contrôle de comptes plusieurs années plus tard.

Pour les établissements scolaires et les prestataires de services éducatifs, une stratégie durable consiste à ne pas limiter les alertes de sécurité des comptes au seul jour de la fuite. Les données d’anciennes fuites peuvent circuler longtemps dans les listes de mots de passe des attaquants. Il faut donc mettre en œuvre conjointement des politiques de réinitialisation des mots de passe, des contrôles bloquant les mots de passe présents dans les données de la fuite, des alertes de connexion inhabituelle et des formations pour les utilisateurs. L’incident Edmodo illustre clairement l’importance cruciale de la sécurité des identifiants de connexion dans l’écosystème éducatif.

Si vous voyez le résultat Edmodo sur LeakData, essayez d’abord de vous rappeler l’ancien mot de passe de ce compte et d’établir la liste des autres services sur lesquels vous avez pu l’utiliser. Même si ce mot de passe n’est plus utilisé, ses variantes doivent être modifiées si elles sont encore employées sur d’autres comptes. Qu’il s’agisse d’un compte d’élève, d’enseignant ou de parent, vérifiez en priorité le compte de messagerie et les services liés à l’établissement scolaire.

Pour cet incident, la mesure la plus adaptée ne consiste pas seulement à changer le mot de passe Edmodo, mais à examiner tous les comptes critiques associés à la même adresse e-mail. Vérifiez les sessions actives, mettez fin aux connexions que vous ne reconnaissez pas, activez l’authentification multifacteur et redoublez de vigilance face aux messages suspects liés à la vie scolaire. Vous pourrez ainsi mieux maîtriser les conséquences d’une ancienne fuite sur une plateforme éducative pour la sécurité actuelle de vos comptes.