Fuite de données McGraw Hill en 2026

Les fichiers diffusés publiquement contenaient 13 500 136 adresses e-mail uniques, tandis que les noms, numéros de téléphone et adresses postales ne figuraient que dans certains enregistrements et fichiers. Ce total d’adresses e-mail uniques ne signifie donc pas que chaque champ exposé concernait le même nombre de personnes. L’entreprise a déclaré que les numéros de sécurité sociale, les informations relatives aux comptes financiers et les données des élèves et étudiants de ses plateformes éducatives n’étaient pas concernés. Aucun élément vérifié ne confirme non plus la présence de mots de passe ou de données de cartes de paiement; ces champs ne sont donc pas répertoriés parmi les catégories de données exposées. Les 45 millions d’enregistrements revendiqués par l’attaquant ne constituent pas un décompte vérifié de comptes uniques. Une même personne peut figurer sur plusieurs lignes ou dans plusieurs fichiers : le nombre total d’enregistrements et le nombre d’adresses e-mail uniques doivent donc être considérés comme deux mesures distinctes.

L’incident a été lié à un problème de configuration sur une page web de McGraw Hill hébergée sur la plateforme Salesforce, qui permettait un accès non autorisé à un ensemble limité de données. L’entreprise a déclaré que cette activité n’avait pas impliqué d’accès non autorisé à ses comptes Salesforce, à ses bases de données clients, à ses contenus pédagogiques ou à ses systèmes internes. Les pages concernées ont été sécurisées après la découverte du problème, et une enquête a été ouverte avec des spécialistes de la cybersécurité. Le 12 avril, un groupe cybercriminel a affirmé détenir 45 millions d’enregistrements de données personnelles et a exigé un paiement au plus tard le 14 avril. Plus de 100 GB ont ensuite été diffusés publiquement; la déduplication de plusieurs fichiers a permis d’identifier 13 500 136 adresses e-mail uniques. Le 10 avril 2026 est la date retenue pour l’incident dans le catalogue, tandis que sa confirmation et la diffusion publique ont eu lieu à la mi-avril. La cause technique étayée par les éléments disponibles est une exposition due à la configuration de la page web hébergée sur Salesforce.

Les personnes les plus directement à risque sont celles dont les adresses e-mail figurent dans les fichiers diffusés. Comme les noms, numéros de téléphone ou adresses postales ne sont présents que dans certains enregistrements, le niveau d’exposition varie d’une personne à l’autre. Il ne faut pas supposer que toutes les personnes figurant dans les fichiers étaient des élèves ou étudiants, des enseignants, des employés ou des clients actifs; les éléments disponibles ne permettent pas d’établir un décompte distinct des personnes touchées dans chaque groupe. Selon l’entreprise, les données des élèves et étudiants de ses plateformes éducatives n’entraient pas dans le périmètre de l’incident. Une correspondance ne démontre pas qu’un mot de passe de compte a été volé, car aucune exposition de mots de passe n’a été confirmée. Les attaquants peuvent néanmoins utiliser une adresse e-mail et un nom connus pour préparer de fausses demandes de réinitialisation de mot de passe, de faux avis de partage de documents ou de faux messages de paiement.

Avant de suivre un lien, vérifiez par un moyen indépendant le domaine de l’expéditeur et l’objet de tout e-mail, SMS ou appel inattendu prétendant provenir de McGraw Hill ou de Salesforce. Faites particulièrement attention aux messages qui invoquent une facture, du matériel pédagogique, la fermeture d’un compte, un avis relatif au droit d’auteur ou une indemnisation à la suite de la fuite pour vous demander un mot de passe, un code à usage unique ou un paiement. Activez la vérification en deux étapes sur votre compte de messagerie, puis examinez ses options de récupération et ses sessions actives. L’exposition de mots de passe n’ayant pas été confirmée, évitez les liens de réinitialisation envoyés dans des messages non sollicités; si vous réutilisez le même mot de passe ailleurs, remplacez-le par un mot de passe unique sur chaque compte. Si un numéro de téléphone figurait dans l’enregistrement, surveillez les notifications de votre opérateur concernant un remplacement de carte SIM, les faux services d’assistance et les tentatives d’hameçonnage vocal. Si votre adresse postale a été exposée, vérifiez par un moyen indépendant toute demande inhabituelle concernant une livraison ou une facturation.

Les adresses e-mail et les coordonnées restent souvent inchangées pendant des années : le risque ne disparaît donc pas quelques semaines après la publication. Utilisez un gestionnaire de mots de passe pour conserver un mot de passe long et différent pour chaque compte, et privilégiez une authentification à l’aide d’une application ou d’une clé de sécurité pour les services importants. Vérifiez régulièrement les règles de transfert des e-mails, les applications connectées et les adresses de récupération. Un message qui mentionne correctement un nom, une adresse ou un numéro de téléphone n’est pas automatiquement digne de confiance; contactez l’organisme via un site web ou un numéro de téléphone connu. Si une adresse professionnelle ou scolaire a été touchée, transmettez les messages suspects à l’équipe de sécurité de l’organisation et prévenez vos collègues de cette campagne. Même des coordonnées obsolètes peuvent servir à construire un récit crédible autour d’une ancienne relation client ou d’un service éducatif utilisé par le passé. Lorsqu’une autre copie ou un total différent apparaît, déterminez s’il s’agit d’un décompte de personnes uniques, d’adresses e-mail uniques, de lignes ou d’éléments de données individuels avant de le comparer au chiffre établi.

Effectuez une recherche sur LeakData.io avec une adresse e-mail que vous avez peut-être utilisée auprès de McGraw Hill pour voir si elle correspond à cette fiche. Une correspondance signifie que l’adresse figurait dans au moins un fichier diffusé; elle ne signifie pas qu’un nom, un numéro de téléphone et une adresse postale étaient tous présents dans le même enregistrement. L’absence de résultat ne prouve pas qu’aucune entrée n’a été créée avec une autre adresse : vérifiez donc séparément vos anciennes adresses professionnelles, scolaires et personnelles. Ne fournissez jamais de mot de passe, de code à usage unique, de numéro d’étudiant, d’informations de paiement ou de pièce d’identité en réponse à un résultat de recherche. Si une correspondance apparaît, sécurisez d’abord votre compte de messagerie, puis vérifiez les services importants qui utilisent cette adresse comme identifiant ou moyen de récupération. Lorsque vous examinez de nouveaux chiffres concernant la fuite de McGraw Hill, ne comparez pas les 45 millions d’enregistrements revendiqués par l’attaquant aux 13 500 136 adresses e-mail uniques comme s’il s’agissait de la même mesure. Des vérifications périodiques et le signalement rapide des prises de contact suspectes peuvent réduire le risque d’hameçonnage après l’incident.