La fuite chez ETS expose les dossiers d'évaluation d'élèves de Californie

Fin octobre 2026, le Département de l'Éducation de Californie (CDE) et son prestataire d'évaluation Educational Testing Service (ETS) ont révélé qu'un intrus avait utilisé un seul identifiant de connexion compromis pour copier des années de dossiers d'élèves de Californie depuis un serveur de transfert sécurisé de fichiers (SFTP) d'ETS — une violation qui, selon les autorités, pourrait toucher des millions d'élèves. ETS, l'organisme à but non lucratif de Princeton (New Jersey) qui administre les évaluations à l'échelle de l'État de Californie (CAASPP et ELPAC), a détecté l'activité non autorisée le 25 septembre 2026.

Selon la notice du CDE, l'accès non autorisé s'est étendu du 22 mai au 18 septembre 2026, et les fichiers copiés concernaient tous les élèves inscrits au cours des trois années scolaires précédentes, certains dossiers remontant jusqu'à 2006. La Californie comptait à elle seule plus de 5,7 millions d'élèves inscrits dans les écoles publiques en 2025-2026, un chiffre qui constitue un plafond pour la cohorte actuelle plutôt qu'un nombre confirmé de victimes ; aucun décompte officiel des personnes touchées n'avait été publié au moment de la divulgation.

Ce qui a été exposé

Les champs exposés sont d'une précision inhabituelle pour un jeu de données d'élèves. Selon les divulgations, ils comprennent les noms, dates de naissance, adresses du domicile, écoles, districts, niveaux scolaires, identifiants d'élève locaux et de l'État, sexe, origine raciale ou ethnique, langue principale, pays d'origine et statut d'apprenant de l'anglais. Certains dossiers contiennent en outre le statut de handicap et de la Section 504, les aménagements d'examen, les inscriptions et résultats aux tests, ainsi que des désignations telles que Title I, McKinney-Vento (sans-abri) ou enfant de militaire. Le CDE a précisé que les numéros de sécurité sociale, les mots de passe, les informations financières ou de carte de paiement et les données des parents ou tuteurs n'étaient pas concernés.

Réponse

ETS a indiqué avoir désactivé le compte utilisé par l'intrus, mis le site SFTP hors ligne et travailler à un remplacement doté de protections renforcées ; l'organisme a également suspendu le traitement régulier des données d'inscription et une partie des activités d'évaluation. ETS a déclaré que sa surveillance du web n'avait trouvé aucune preuve de publication des données volées et propose aux élèves concernés deux ans de services gratuits de protection de l'identité. Aucun auteur de la menace n'a été identifié. Le vecteur d'intrusion ayant été fermé et aucune preuve de publication n'existant, mais les notifications et l'enquête étant toujours en cours, le statut de l'incident est contenu.

Pourquoi c'est important

Cette violation illustre de manière exemplaire le risque lié aux tiers et aux identifiants dans le secteur de l'éducation : un seul identifiant compromis chez un prestataire a exposé l'une des catégories de données les plus sensibles qui soient — des dossiers détaillés concernant des mineurs, y compris des désignations de handicap et de programmes spécialisés — à l'échelle du système scolaire de tout un État. Elle souligne également comment la conservation prolongée de données historiques (des dossiers remontant à 2006) démultiplie l'onde de choc d'une compromission d'un seul identifiant, bien au-delà de la population scolaire actuelle.