Fuite de données chez University of the People (UoPeople) en 2025

La vérification a pris en compte la présence, dans le même événement, du nom University of the People, de l’abréviation UoPeople, du domaine uopeople.edu, de la période de septembre 2025, d’un volume d’inscriptions de 515 100 et de champs liés au profil étudiant en ligne. Les étudiants, les anciens étudiants et les candidats d’un établissement d’enseignement pouvant communiquer par l’intermédiaire du même domaine, l’explication a été limitée aux champs étayés. Les affirmations plus larges, concernant notamment les adresses postales ou les résultats universitaires, n’étaient pas étayées de manière cohérente et n’ont donc pas été ajoutées aux principales catégories de données.

La fuite de données de University of the People (UoPeople) expose les étudiants à des risques d’hameçonnage ciblé et de faux messages concernant le renouvellement d’inscription, les bourses, les paiements, les documents ou la vérification de compte. En combinant le nom, le téléphone, l’adresse e-mail, la date de naissance, le numéro d’étudiant ou de candidature et le programme d’études, des attaquants peuvent créer des messages qui ressemblent à une notification légitime de l’université. Comme les étudiants reçoivent fréquemment des demandes de connexion, de dépôt de documents et de remplissage de formulaires dans les environnements d’enseignement en ligne, il peut être difficile de repérer ces faux messages personnalisés. L’incident ne doit donc pas être considéré comme touchant uniquement des coordonnées.

Bien que les catégories de données visibles dans cet incident ne révèlent pas directement de mots de passe permettant de prendre le contrôle d’un compte, elles constituent une base solide pour l’ingénierie sociale. Les dates de naissance et les numéros de téléphone peuvent être utilisés à mauvais escient lors des vérifications effectuées par l’assistance ou les services de la scolarité. La connaissance du programme d’études peut rendre plus convaincants de faux messages concernant l’inscription à des cours, les diplômes, les relevés de notes, les bourses ou les examens. L’adresse e-mail permet également de cibler les comptes universitaires comme les comptes personnels. Vous devez vérifier, par un canal indépendant, les messages qui contiennent des informations exactes sur votre situation d’étudiant.

Si vous êtes étudiant ou ancien étudiant et disposez d’un compte UoPeople, commencez par examiner les paramètres de sécurité de vos comptes personnels qui utilisent la même adresse e-mail que votre compte de messagerie universitaire. Activez l’authentification multifacteur si elle ne l’est pas déjà. Si vous utilisez le même mot de passe sur d’autres comptes, changez-le. Vérifiez les messages concernant les frais d’inscription, les bourses, la vérification de documents, les relevés de notes, l’obtention du diplôme, le choix des cours ou la fermeture de compte directement via l’adresse officielle de l’université que vous connaissez déjà. Ne partagez pas les codes à usage unique, les documents ou les demandes de paiement reçus par téléphone.

Pour les établissements, la fuite de données de University of the People (UoPeople) illustre le risque que présentent les vérifications fondées sur des informations personnelles dans les procédures des universités en ligne et de l’assistance aux étudiants. Une personne qui connaît le nom, la date de naissance, le numéro de téléphone, le numéro d’étudiant ou de candidature et le programme d’études d’un étudiant ne doit pas être considérée d’emblée comme étant cet étudiant. Des vérifications supplémentaires sont nécessaires dans les procédures des services de la scolarité, des finances, de l’assistance technique et des admissions, qu’il s’agisse de récupérer un compte, de modifier des coordonnées, de rediriger un paiement ou de transmettre des documents. Les établissements doivent indiquer clairement aux étudiants leurs noms de domaine officiels et les moyens de signaler les liens d’hameçonnage.

La fiche consacrée à la fuite de données de University of the People (UoPeople) a été limitée aux éléments étayés dans le périmètre de l’incident. Le nombre retenu est de 515 100 comptes étudiants. Il n’a pas été affirmé que tous les dossiers étudiants comportaient les mêmes champs, ni qu’ils incluaient des mots de passe, des informations de paiement, des notes ou des pièces d’identité. Le programme d’études et les champs relatifs au pays de naissance ou au pays ont été ajoutés pour éclairer le contexte du profil étudiant. Néanmoins, la combinaison du nom, de l’adresse e-mail, du téléphone, de la date de naissance et des informations sur les études suffit à créer un risque d’hameçonnage et de fraude auprès des services d’assistance aux comptes.

Le niveau de risque global a été évalué comme élevé, car la fuite de données de UoPeople associe le contexte d’un compte d’enseignement en ligne à des champs portant sur la date de naissance, le téléphone et le programme d’études. Si vous recherchez des informations sur la fuite de données de University of the People, les mesures pratiques consistent à activer une vérification supplémentaire sur votre compte universitaire, à contrôler directement les liens officiels, à vérifier de manière indépendante les demandes liées aux bourses et aux paiements, à éviter de réutiliser vos mots de passe et à ne pas faire confiance aux messages sous prétexte qu’ils contiennent des informations personnelles sur votre situation d’étudiant. Cette fiche a été préparée pour expliquer l’impact réel sur la sécurité des étudiants sans ajouter de types de données non étayés.

Le champ contenant le numéro d’étudiant ou de candidature renforce le risque lié au profil étudiant décrit dans cette fiche. Bien que ces numéros ne soient pas directement des mots de passe ou des informations de paiement, ils peuvent servir de gage de confiance dans les demandes adressées à l’assistance universitaire, les demandes de suivi d’une candidature, les notifications de bourse et les messages de vérification de compte. La fiche présente donc séparément les champs qui révèlent l’identité de l’étudiant.