Violation de données chez Infinite Campus en 2026
La violation de données chez Infinite Campus en 2026 était liée, selon les déclarations de l’entreprise, à un accès non autorisé au compte Salesforce d’un employé.
Types de données exposées
8- Adresses e-mail
- Employeurs
- Intitulés de poste
- Noms
- Numéros de téléphone
- Adresses physiques
- Tickets d’assistance
- Noms d’utilisateur
À propos de cette fuite de données
Infinite Campus a déclaré avoir pris connaissance de l’incident le 18 mars 2026. L’entreprise a précisé que l’environnement auquel l’accès avait eu lieu contenait les noms et les coordonnées de membres du personnel d’établissements scolaires, et que la plupart de ces informations étaient déjà disponibles dans les annuaires des établissements. Elle a également indiqué n’avoir trouvé aucun élément attestant d’un accès aux bases de données de ses clients. Le nom ShinyHunters et la menace de publier les données à défaut de paiement proviennent des déclarations de l’auteur de l’attaque; l’entreprise n’a pas confirmé son identité.
Après la publication de données, un index vérifié recensant les violations de données a fait état de 137 123 adresses e-mail uniques dans l’archive attribuée à cet incident. L’index répertorie les catégories de données suivantes : adresses e-mail, employeurs, intitulés de poste, noms, numéros de téléphone, adresses physiques, tickets d’assistance et noms d’utilisateur. Ce chiffre ne correspond pas à un nombre de personnes uniques et ne signifie pas que tous les champs étaient présents dans chaque enregistrement. En production, il n’existe aucune tâche d’importation locale ni aucun jeu de données permettant des recherches par personne liés à cet incident. Le chiffre de 137 123 n’est donc pas présenté comme un nombre d’enregistrements importés localement.
Que permettent d’établir les éléments disponibles ?
Les déclarations de l’entreprise étayent l’accès au compte Salesforce d’un employé et son constat d’absence d’éléments indiquant que les bases de données de ses clients auraient été compromises. Des articles indépendants ont ensuite décrit une archive d’environ 1,2 Go qui aurait été publiée, ainsi que l’analyse des champs réalisée par l’index vérifié. Ces éléments ne permettent pas d’établir que les notes des élèves, des informations de santé, des mots de passe ou les bases de données centrales du système d’information des élèves ont été exposés. La présence de la catégorie des tickets d’assistance ne prouve pas que tous les tickets contenaient les mêmes informations. Une simple correspondance ne montre pas qu’une personne est un élève ou un parent, ni qu’un compte Infinite Campus actuel est compromis.
Mesures de précaution à prendre
Les membres du personnel scolaire concernés doivent se méfier des tentatives d’hameçonnage ciblé utilisant le nom d’une organisation, un intitulé de poste ou le contexte d’une ancienne demande d’assistance. Au lieu de suivre un lien vous invitant à modifier votre mot de passe, ouvrez directement l’adresse de connexion connue de l’établissement ou d’Infinite Campus et vérifiez les demandes suspectes auprès de l’équipe informatique de l’établissement par un autre canal. Si vous avez réutilisé le même mot de passe sur un autre service, remplacez-le par un mot de passe unique et activez l’authentification multifacteur. Une correspondance d’adresse e-mail ne doit pas servir à déduire d’autres informations sur les élèves ou les familles.
Vérification et méthode éditoriale
LeakData compare le nom de l’incident, sa date, le nombre d’enregistrements concernés et les types de données exposées avec les sources accessibles. Les informations non vérifiées ne sont pas présentées comme des faits, et les fiches sont mises à jour lorsque de nouveaux éléments probants sont disponibles.
Signaler des informations manquantes ou incorrectes
