Exposition présumée de données chez ShowMe

Lorsqu’une adresse e-mail et un mot de passe figurent dans le même enregistrement, des attaquants peuvent tenter des connexions automatisées sur d’autres sites. Si l’affirmation selon laquelle les mots de passe sont en clair est exacte, le risque est immédiat, sans qu’il soit nécessaire de casser un hachage. Les adresses e-mail utilisées sur les plateformes éducatives sont souvent liées à un établissement scolaire, à un compte personnel ou à un compte professionnel, ce qui rend les messages d’hameçonnage plus convaincants. Si un utilisateur emploie le même mot de passe pour sa messagerie, un système de gestion de l’apprentissage, les réseaux sociaux ou des services de partage de fichiers, une fuite touchant un service éducatif peut avoir des répercussions sur des comptes plus sensibles. L’âge des élèves et le contexte scolaire rendent également leurs comptes particulièrement sensibles.

ShowMe figure dans des listes de données ouvertes avec des dates, des chiffres et des catégories de données similaires. La vérification reste toutefois limitée, car l’entreprise n’a publié aucune notification directe. L’entrée LeakData indique le nombre approximatif de lignes correspondant à des utilisateurs, mais il ne faut pas supposer que chaque ligne représente une personne distincte. Pour cette entrée, aucun champ relatif aux notes des élèves, aux contenus de cours, aux cartes de paiement ou aux pièces d’identité n’a été ajouté au-delà des adresses e-mail et du champ de mot de passe. L’affirmation selon laquelle le champ de mot de passe apparaît en clair est prise en compte dans l’évaluation du risque, mais les limites du périmètre sont clairement précisées afin de ne pas donner aux utilisateurs une certitude injustifiée.

Les enseignants, les élèves, les parents et les créateurs de contenus éducatifs ayant utilisé ShowMe peuvent être exposés à un risque. Les anciens comptes éducatifs sont souvent oubliés; pourtant, la réutilisation du même mot de passe pour une messagerie scolaire, une messagerie personnelle ou d’autres outils d’apprentissage augmente la surface d’attaque. Les comptes des enseignants présentent un risque accru d’ingénierie sociale en raison des liens avec leurs classes, des échanges avec les élèves et des contenus partagés. Les élèves, quant à eux, peuvent être plus vulnérables aux faux messages présentant des récompenses, des supports de cours, des devoirs ou des demandes de vérification de compte. Si les comptes de messagerie des parents sont compromis, des messages frauduleux liés à l’école ou aux paiements peuvent également apparaître.

Les utilisateurs pour lesquels une correspondance est trouvée doivent remplacer, sur tous les services concernés, tout mot de passe susceptible d’avoir été utilisé pour leur compte ShowMe. Les mots de passe identiques ou similaires, créés par de légères modifications, doivent également être changés. Il convient d’utiliser des mots de passe robustes et uniques pour les comptes de messagerie, les comptes scolaires, le stockage dans le cloud et les plateformes d’apprentissage, et d’activer l’authentification multifacteur. Les enseignants et les administrateurs doivent vérifier les anciens liens de classe et les documents partagés. Tout message inattendu concernant un cours, un paiement, le téléchargement d’un document ou le renouvellement d’un compte, reçu sur un compte d’élève ou de parent, doit être vérifié par les canaux officiels. L’utilisation d’un gestionnaire de mots de passe réduit le risque de réutilisation.

Les établissements doivent mettre en place des politiques de sécurité pour les comptes des services de technologies éducatives, en tenant compte de l’âge et du rôle de l’utilisateur ainsi que de la sensibilité des données. Les mots de passe ne doivent jamais être stockés sous une forme lisible. Il convient d’utiliser des algorithmes de hachage modernes et des règles strictes en matière de mots de passe. Les anciens enregistrements de classes et d’utilisateurs ne doivent pas être conservés inutilement, et la fermeture des comptes doit être facilitée pour les enseignants et les élèves. Pour les utilisateurs, créer un mot de passe distinct pour chaque outil éducatif, séparer la messagerie scolaire des comptes personnels et consulter régulièrement les notifications de sécurité constituent des mesures de protection durables. Les familles doivent également inclure les anciens comptes éducatifs de leurs enfants dans leurs audits de sécurité.

La vérification LeakData vous permet de voir si votre adresse e-mail correspond à un enregistrement ShowMe. Si une correspondance est trouvée, la mesure la plus importante est de réinitialiser le mot de passe; cette démarche ne doit pas se limiter au seul compte ShowMe. Changez également les mots de passe des comptes de messagerie, des comptes scolaires, des réseaux sociaux et des services cloud sur lesquels vous avez utilisé le même mot de passe. L’absence de correspondance peut laisser de côté d’anciens comptes éducatifs ouverts avec d’autres adresses e-mail. Les enseignants et les parents peuvent vérifier l’historique des comptes en consultant les responsables internes de la sécurité. Même si le niveau de vérification de cette entrée reste limité, il convient d’agir sans délai compte tenu de l’affirmation concernant le champ de mot de passe.