Skip to main content

Cybersécurité Petite Enfance

Cybersécurité Petite Enfance
Menu

Même le ministère : 360 000 dossiers d’enseignants ouverts avec un simple mot de passe

Faille de sécurité Par Eric Rousseau · 22 mars 2020 · 8 min de lecture
Clé USB métallique posée sur un fond blanc
En bref

En février 2020, Québec a confirmé qu’un code d’accès et un mot de passe volés avaient ouvert les dossiers de près de 360 000 enseignants.

Le vendredi 21 février 2020, le ministère de l’Éducation et de l’Enseignement supérieur du Québec confirme avoir été victime d’un vol de données. Pas de faille sophistiquée, pas de logiciel malveillant : des individus ont utilisé un code d’utilisateur et un mot de passe volés pour entrer dans une base contenant les renseignements personnels de près de 360 000 enseignants actuels et anciens. L’histoire avait commencé deux ans plus tôt par des vols d’identité, et elle a été résolue grâce à une clé USB. Elle reste la démonstration la plus claire qu’un mot de passe entre de mauvaises mains vaut toutes les portes dérobées du monde.

Ce qui s’est passé

La chronologie s’appuie sur le communiqué du Secrétariat du Conseil du trésor et sur Radio-Canada (21 février 2020).

  • Printemps 2018 : des enseignants sont victimes de vols d’identité ; la Sûreté du Québec enquête.
  • Mars 2019 : la Sûreté du Québec arrête deux personnes en lien avec ces vols.
  • Février 2020 : les enquêteurs retrouvent une clé USB contenant les noms d’environ 52 000 enseignants. La comparaison avec le système ICARE du ministère confirme la provenance de la fuite.
  • 19 février 2020 : le ministère obtient la confirmation, selon le communiqué.
  • 21 février 2020 : annonce publique. Des individus ont accédé à une base renfermant les renseignements de près de 360 000 enseignants « après avoir dérobé un code utilisateur et un mot de passe ». Surveillance du dossier de crédit offerte sans frais, ligne téléphonique, lettres à venir. La Fédération des syndicats de l’enseignement (FSE-CSQ) réagit le jour même.
  • 24 février 2020 : La Presse titre que Québec se dit « désolé » sans s’excuser.
  • Printemps 2020 : les personnes touchées reçoivent une lettre avec un code d’activation pour la surveillance Equifax, selon une dépêche de la FSE. Les personnes devenues enseignantes après le 21 février 2020 ne sont pas visées.
  • 28 novembre 2020 : trois Montréalais sont arrêtés en lien avec le vol, selon databreaches.net.

Le mécanisme, expliqué simplement. ICARE est un répertoire des enseignants actuels et anciens, qui sert à établir leur classification. Comme tout système, il a des comptes d’utilisateurs légitimes. Quelqu’un a obtenu l’identifiant et le mot de passe d’un de ces comptes. Pour le système, cette personne était un utilisateur normal, et elle a pu extraire ce qu’un utilisateur normal voit. Le gouvernement a d’ailleurs insisté : « la fiabilité des systèmes informatiques du gouvernement n’est pas remise en cause ». C’est exact techniquement, et c’est précisément le problème : un système fiable obéit à un mot de passe volé exactement comme à son propriétaire.

Clavier d'ordinateur noir rétroéclairé en vert, en gros plan

Un identifiant et un mot de passe : c’est tout ce qu’il a fallu pour consulter la base ICARE, selon le communiqué gouvernemental.

Les données touchées

Le communiqué parle de « près de 360 000 enseignants » dont « les données personnelles peuvent avoir été dérobées », dans une base servant à la classification académique des enseignants, en poste ou non, du public comme du privé. Il ne détaille pas la liste des champs. Selon La Presse, le numéro d’assurance sociale et la date de naissance figuraient parmi les renseignements de la base : les deux données qui rendent un vol d’identité réaliste, d’où l’offre de surveillance de crédit.

La clé USB retrouvée contenait les noms d’environ 52 000 enseignants, selon Radio-Canada. Ce chiffre mesure ce que les enquêteurs ont retrouvé, pas l’ampleur du vol ; le ministère a choisi d’aviser l’ensemble des personnes inscrites dans la base. Il s’agit de données d’enseignants, pas d’élèves : aucune fuite de dossiers d’élèves n’est associée à cette affaire.

Ce qu’en disent les parents, les experts et les autorités

Les réactions publiées sont institutionnelles et syndicales. Le gouvernement du Québec, dans son communiqué du 21 février 2020 : le vol résulte d’une « utilisation frauduleuse d’un mot de passe et d’un code d’accès » et « la fiabilité des systèmes informatiques du gouvernement n’est pas remise en cause ». Le Conseil du trésor, responsable des données gouvernementales, pilote le dossier, selon Radio-Canada.

Josée Scalabrini, présidente de la FSE-CSQ, dans le communiqué de la fédération du 21 février 2020 : « Le gouvernement doit maintenant s’assurer que cette situation ne se reproduise jamais. » À Radio-Canada, le même jour : « Nous sommes conscients que les dommages peuvent être immenses chez les victimes » et « Nous serons vigilants pour que toutes les mesures soient mises en place pour épauler ces enseignants. »

La FSE-CSQ formule trois demandes : que le gouvernement empêche qu’un tel vol se reproduise, qu’il soutienne pleinement les enseignants dans leurs démarches de protection, et que les mesures d’aide soient effectivement mises en place. Dans une dépêche de l’automne 2020, la fédération décrit l’annonce du 21 février comme faite « timidement » et détaille la marche à suivre pour activer la surveillance Equifax.

Aucune réaction de parents n’a été publiée, ce qui est cohérent : les personnes touchées étaient des enseignants, pas des familles.

Ce que ça change pour votre service de garde

Votre logiciel de gestion, votre portail parents, votre comptabilité et votre courriel fonctionnent sur le même principe qu’ICARE : un identifiant, un mot de passe, et le système obéit. Six gestes concrets :

  1. Activez l’authentification multifacteur partout où elle existe, en commençant par le courriel, le logiciel de gestion et la banque. Avec un deuxième facteur (code sur téléphone ou clé physique), un mot de passe volé ne suffit plus. Comptez une heure par outil.
  2. Faites la liste nominative de tous les comptes de chaque système : qui, quel rôle, depuis quand. Supprimez les comptes génériques partagés (« direction », « bureau ») : impossible de savoir qui a fait quoi, impossible de les révoquer sans bloquer tout le monde.
  3. Révoquez les accès le jour du départ, pas à la prochaine révision. Ajoutez « accès informatiques retirés » à votre liste de fin d’emploi, à côté de la remise des clés. Moins il y a d’identifiants actifs, moins il y en a qui peuvent circuler.
  4. Adoptez un gestionnaire de mots de passe d’équipe : un mot de passe unique et long par système, sans papier. Les offres gratuites ou à quelques dollars par utilisateur s’installent en une après-midi.
  5. Demandez à vos fournisseurs si leurs comptes de soutien sont protégés par multifacteur et s’ils journalisent les connexions à vos données. Un compte de technicien est un compte comme les autres.
  6. Formez l’équipe à reconnaître l’hameçonnage, la façon la plus courante de voler un mot de passe : un exercice de 20 minutes par trimestre, avec trois courriels réels reçus par votre installation.

Foire aux questions

Le ministère a-t-il été piraté ?

Selon le communiqué gouvernemental, le vol a été commis par une « utilisation frauduleuse d’un mot de passe et d’un code d’accès ». Aucune faille technique n’a été évoquée publiquement.

Pourquoi l’annonce est-elle arrivée deux ans après les premiers vols d’identité ?

Selon Radio-Canada, c’est la découverte d’une clé USB en février 2020, comparée au contenu d’ICARE, qui a permis d’établir la source de la fuite. Le ministère a été informé le 19 février et a annoncé le vol le 21.

Les enseignants ont-ils reçu une aide concrète ?

Oui, selon le communiqué : surveillance du dossier de crédit sans frais, ligne téléphonique dédiée et lettre individuelle avec un code d’activation Equifax, comme l’explique la FSE-CSQ, qui a dit surveiller la mise en place de ces mesures.

Un service de garde est-il concerné par ce genre de risque ?

Oui. Toute organisation qui donne accès à ses dossiers par identifiant et mot de passe est exposée au même scénario, quelle que soit sa taille. La différence se joue sur le multifacteur, la gestion des comptes et le retrait des accès au départ.

Transparence

Ce blogue est publié par Amisgest Technologie inc., éditeur de logiciels pour les services de garde éducatifs. Les faits rapportés ici proviennent de sources publiques citées en fin d’article. Une erreur à signaler ? Écrivez à info@amisgest.ca.

Sources

À lire aussi

Étiqueté , , , ,