Fuite de données OneClass (2020)

Dans cette fiche, les champs de données étayés par les éléments disponibles sont les adresses e-mail, les prénoms et noms, les numéros de téléphone, les informations sur les établissements scolaires, les intitulés des cours, les informations d’inscription et l’activité des comptes. Les adresses e-mail et les numéros de téléphone présentent un risque direct de prise de contact, tandis que les informations sur les établissements, les intitulés des cours, les informations d’inscription et l’activité des comptes peuvent permettre d’établir un profil plus détaillé du parcours scolaire d’une personne. La présence d’un champ de mot de passe n’étant pas étayée, cette fiche ne décrit pas une fuite de mots de passe. Toutefois, l’association de l’identité scolaire et des coordonnées accroît le risque d’hameçonnage ciblé, de faux messages d’assistance aux étudiants et d’ingénierie sociale.

• Les étudiants et les enseignants peuvent être ciblés par de faux messages concernant leur établissement, des bourses, des notes ou une assistance.
• Le risque de fraude utilisant plusieurs canaux augmente lorsque les numéros de téléphone et les adresses e-mail sont exposés ensemble.
• Les informations sur les établissements et les cours peuvent donner aux messages une apparence personnalisée et crédible.
• L’activité des comptes peut fournir des éléments supplémentaires sur le comportement des utilisateurs sur la plateforme.

Pour OneClass (2020), le périmètre vérifié comprend le domaine oneclass.com, la période de juin 2020, 1 000 000+ personnes et des catégories de données telles que les adresses e-mail, les prénoms et noms, les numéros de téléphone, les informations sur les établissements scolaires, les intitulés des cours, les informations d’inscription et l’activité des comptes. Cet incident conserve son statut vérifié, car il est étayé par des publications indépendantes fiables et des constatations de chercheurs. Toutefois, la description ne dépasse pas les champs de données étayés et ne laisse pas entendre que des champs tels que les mots de passe, les données de cartes de paiement, les numéros de pièces d’identité officielles ou le contenu de messages privés étaient présents.

La fiche est marquée comme sensible parce que l’incident rend visibles, dans un même ensemble, les informations sur les établissements, les cours et les coordonnées d’étudiants et de personnes liées au secteur éducatif. Bien que ces données ne contiennent pas, à elles seules, d’informations financières, elles peuvent accroître le risque d’établissement de profils personnels, de fraude ciblée et de pressions fondées sur l’identité scolaire.

Le principal groupe à risque comprend les étudiants, les enseignants et les candidats utilisant OneClass, ainsi que les personnes dont les coordonnées sont associées à un compte éducatif. Les étudiants, les parents, les enseignants et les titulaires de comptes d’assistance pédagogique doivent faire preuve d’une vigilance accrue face aux messages personnalisés faisant référence aux études. Le risque d’être ciblé dans plusieurs contextes est particulièrement élevé pour les personnes qui utilisent la même adresse e-mail ou le même numéro de téléphone pour leurs démarches scolaires, leurs demandes de bourse, leurs services bancaires, leurs réseaux sociaux et leurs candidatures à un emploi.

• Les étudiants disposant d’un compte OneClass ou d’un profil éducatif
• Les personnes qui associent leur numéro de téléphone et leur adresse e-mail à leurs comptes scolaires
• Les utilisateurs susceptibles de recevoir des messages ciblés à partir d’informations sur leur classe, leur établissement ou leur inscription
• Les personnes qui ont tendance à cliquer rapidement sur les liens provenant de plateformes éducatives

Si vous disposez d’un compte ou d’un profil éducatif associé à OneClass, examinez attentivement les messages inattendus reçus par e-mail ou par téléphone concernant des résultats scolaires, une assistance scolaire, une bourse, une vérification de compte ou un remboursement. Même si la présence d’un champ de mot de passe n’est pas étayée dans cette fiche, il serait prudent d’activer l’authentification multifacteur sur les comptes importants utilisant la même adresse e-mail et de mettre à jour leurs informations de récupération.

• Activez l’authentification multifacteur sur votre compte de messagerie.
• N’ouvrez pas les liens reçus sur votre téléphone concernant un établissement, une bourse ou une assistance sans les avoir vérifiés.
• Vérifiez les options de récupération des comptes importants utilisant la même adresse e-mail.
• Vérifiez directement, par le canal officiel, les demandes de paiement et de vérification reçues au nom de l’établissement ou de la plateforme éducative.

Pour vous protéger durablement sur les plateformes éducatives, il est nécessaire d’utiliser des adresses e-mail distinctes selon leur usage, d’activer l’authentification multifacteur sur les comptes scolaires et de rester prudent face aux liens relatifs aux études reçus par SMS ou par e-mail. Les données éducatives peuvent avoir des conséquences pour l’utilisateur, non seulement sur la sécurité des comptes, mais aussi en permettant de déduire son profil personnel.

Pour les établissements scolaires, les plateformes de cours et les étudiants, les bonnes pratiques consistent à effectuer régulièrement des audits d’accès afin de prévenir les risques liés aux bases de données accessibles, à fermer les comptes inutilisés, à limiter les durées de conservation des données et à sensibiliser les étudiants à l’hameçonnage. L’incident OneClass montre que des données éducatives ne comprenant pas de mots de passe peuvent elles aussi présenter des risques sérieux pour la vie privée.

Si vous consultez la fiche OneClass (2020) sur LeakData.io et qu’un résultat apparaît, déterminez quelle adresse e-mail ou quel numéro de téléphone est concerné, à quel établissement ou cours ces informations pourraient être liées et sur quels autres comptes les mêmes coordonnées ont été utilisées. L’objectif n’est pas de céder à la panique, mais de renforcer votre protection contre les faux messages susceptibles de faire référence à votre identité scolaire.

Si une nouvelle notification officielle, un document réglementaire ou un article indépendant fiable concernant la fuite de données OneClass (2020) paraît, le périmètre pourra être réévalué. En l’état, la fiche reste classée comme un incident vérifié, sensible et centré sur les données éducatives. Les utilisateurs doivent protéger avec soin leurs canaux de communication et leurs comptes scolaires.