Fuite de données chez Scholastic

Lorsque l’adresse e-mail, le nom, le numéro de téléphone et l’adresse postale sont réunis, vous pouvez être ciblé en tant que client réel ou membre d’une communauté éducative. Le contexte scolaire peut rendre plus crédibles des messages concernant des commandes de livres, des foires organisées par les écoles, des activités de classe, des comptes d’enseignants ou du matériel pédagogique.

Lorsque des champs comme le nom, l’adresse e-mail, le numéro de téléphone, l’adresse postale, le nom d’utilisateur ou la localisation sont associés, des attaquants peuvent vous contacter en prétendant entretenir une relation de service légitime avec vous. Ces informations ne signifient pas nécessairement, à elles seules, qu’un compte a fait l’objet d’une prise de contrôle; elles peuvent toutefois servir à l’hameçonnage, à de fausses demandes d’assistance, à des vérifications de compte et à des scénarios de fraude personnalisés. Aucun champ de mot de passe ou de carte de paiement n’est répertorié dans ce jeu de données. Les adresses et numéros de téléphone peuvent néanmoins être utilisés dans de faux messages relatifs à des livraisons, à des commandes scolaires ou au service client. Certaines entrées peuvent ne pas contenir tous les champs; le principal risque concerne les coordonnées de contact et les adresses.

La date consignée pour l’incident est le 8 janvier 2025, et le nombre d’adresses e-mail concernées est de 4 247 768. Des sources d’information fiables et des fiches recensant les fuites indiquent que les données de Scholastic contiennent des millions d’adresses e-mail, certaines entrées comprenant également des champs de nom, de numéro de téléphone et d’adresse postale.

Pour décrire le périmètre de l’incident, il ne faut pas affirmer que toutes les données éducatives, tous les dossiers d’élèves ou toutes les cartes de paiement ont été divulgués. Le risque réel est celui d’un hameçonnage ciblé fondé sur le contexte de l’édition pédagogique et les coordonnées des clients.

Les personnes à risque sont les clients, enseignants, parents ou personnes participant à des clubs de lecture ou à des commandes scolaires qui possèdent un compte Scholastic. Les utilisateurs dont le numéro de téléphone et l’adresse figurent dans les données peuvent être ciblés par des messages portant sur des expéditions ou des activités scolaires.

Les messages liés à l’éducation peuvent vous sembler dignes de confiance. Les attaquants peuvent s’appuyer sur le nom d’une école, une commande de livres, un événement ou un compte d’enseignant. Les parents et les enseignants doivent donc vérifier les liens par les canaux officiels.

Si votre adresse e-mail figure dans ce jeu de données, vérifiez que vous utilisez un mot de passe unique pour votre compte Scholastic et pour chacun de vos comptes de services éducatifs ou de commerces utilisant la même adresse e-mail. Les messages relatifs aux expéditions, aux commandes scolaires ou à la vérification de compte doivent être vérifiés sur le site officiel.

Au lieu d’ouvrir directement les liens reçus, connectez-vous à partir de l’adresse web que vous connaissez ou de l’application officielle du service concerné. Le fait qu’une personne qui vous appelle connaisse votre nom, votre adresse e-mail, votre adresse postale, votre commande ou les informations de votre profil ne prouve pas qu’elle est digne de confiance. Ne communiquez jamais de codes de vérification à usage unique, d’informations de carte de paiement ou de mots de passe de compte lors d’un échange avec un service d’assistance.

À long terme, prendre l’habitude d’utiliser un gestionnaire de mots de passe, des mots de passe uniques et l’authentification à deux facteurs, ainsi que de supprimer les informations personnelles inutiles de vos comptes, réduit les risques. Réutiliser la même adresse e-mail sur différentes plateformes facilite le rapprochement de données issues de plusieurs fuites; vous pouvez envisager d’utiliser une adresse e-mail distincte ou un alias pour vos comptes critiques.

Supprimez régulièrement les adresses et numéros de téléphone inutiles de vos comptes de services éducatifs et de sites d’achat destinés aux enfants. Les écoles et les familles devraient adopter une procédure de vérification spécifique face aux liens de paiement ou de livraison non officiels.

La vérification LeakData indique si l’adresse e-mail recherchée figure dans ce jeu de données. Un résultat positif ne signifie pas nécessairement que tous les champs de données appartiennent avec certitude à cet utilisateur; il constitue toutefois un avertissement suffisant pour prendre des précautions. Un résultat négatif indique uniquement qu’aucune correspondance n’a été trouvée dans ce jeu de données et n’exclut pas une présence dans d’autres fuites.

Un résultat positif accroît le risque de messages ciblés sur les thèmes de la formation et de la livraison. Un résultat négatif signifie qu’aucune correspondance n’a été trouvée dans ce jeu de données; la même adresse e-mail devrait également être vérifiée pour d’autres services de formation.