Skip to main content

Cybersécurité Petite Enfance

Cybersécurité Petite Enfance
Menu

PowerSchool : la rançon payée, les données ressorties quand même

Faille de sécurité Par Eric Rousseau · 21 janvier 2025 · 10 min de lecture
Autobus scolaire jaune qui circule seul sur une rue de ville, sans enfants
En bref

PowerSchool a payé une rançon pour faire détruire des données d’élèves volées ; cinq mois plus tard, elles servaient à extorquer des conseils scolaires.

Entre le 22 et le 28 décembre 2024, pendant que les écoles étaient fermées pour les Fêtes, quelqu’un est entré dans les systèmes de PowerSchool, l’un des logiciels de gestion de dossiers d’élèves les plus répandus en Amérique du Nord. Le vol a touché des millions d’élèves, de parents et d’employés dans huit provinces et territoires canadiens. Le Québec, lui, n’a eu aucun centre de services scolaire touché. Cette histoire mérite d’être racontée à tout gestionnaire de service de garde, parce qu’elle réunit en un seul cas presque tout ce qu’on doit savoir sur la relation avec un fournisseur de logiciel.

Ce qui s’est passé

Le mécanisme est simple à comprendre. Selon le rapport de la commissaire à l’information et à la protection de la vie privée de l’Ontario, rapporté par CP24 le 18 novembre 2025, les attaquants ont utilisé des identifiants compromis appartenant à un ancien sous-traitant de PowerSchool pour entrer dans PowerSource, le portail de soutien technique de l’entreprise. De là, ils ont pu accéder aux bases de données de centaines de clients. Le même rapport s’inquiète du fait que ces identifiants avaient déjà été utilisés plusieurs fois entre le 16 août et le 17 septembre 2024, soit des mois avant le vol de décembre.

  • 22 au 28 décembre 2024 : accès non autorisé aux données hébergées dans l’infonuagique de PowerSchool (page officielle du Toronto District School Board, TDSB).
  • 7 janvier 2025 : PowerSchool avise ses clients, dont les conseils scolaires de l’Ontario (TDSB).
  • 28 janvier 2025 : Global News recense plus de 80 conseils et divisions scolaires touchés dans sept provinces et un territoire. Le ministère de l’Éducation du Québec répond par courriel qu’« une seule organisation utilise PowerSchool » au Québec et qu’elle n’a pas été touchée.
  • 11 février 2025 : le Commissariat à la protection de la vie privée du Canada (CPVP) ouvre une enquête.
  • Semaine du 4 mai 2025 : le TDSB apprend que « les données n’ont pas été détruites », malgré ce que PowerSchool avait affirmé (page officielle du TDSB). Le TDSB, le Peel District School Board et le Calgary Board of Education reçoivent chacun une demande de rançon directe (Global News, 8 mai 2025).
  • 22 juillet 2025 : le CPVP met fin à son enquête, PowerSchool s’étant engagée à renforcer ses mesures de sécurité.
  • 18 novembre 2025 : rapport conjoint des commissaires de l’Ontario et de l’Alberta. Vingt conseils scolaires ontariens et le ministère de l’Éducation avaient signalé l’incident.
  • 11 mai 2026 : la commissaire de Terre-Neuve-et-Labrador publie son propre rapport (P-2026-001).

Le point qui a le plus marqué : PowerSchool a reconnu avoir payé une rançon « dans les jours suivant » l’attaque, en expliquant croire que c’était « dans le meilleur intérêt de nos clients » (Global News, 8 mai 2025). Le TDSB précise sur sa page officielle qu’il n’a lui-même versé aucune rançon ; le Calgary Board of Education a écrit la même chose à ses familles. Quand les demandes d’extorsion ont repris en mai, PowerSchool a déclaré : « Nous ne croyons pas qu’il s’agisse d’un nouvel incident, les échantillons de données correspondant à celles volées en décembre » (traduction de Global News).

Cadenas bleu dessiné sur un fond de circuit imprimé, symbole de protection des données

Le cadenas sur un circuit imprimé, symbole de la protection des données informatiques. Illustration : jaydeep_, CC0 (Wikimedia Commons)

Les données touchées

L’ampleur vient de la profondeur historique des dossiers. Selon la page officielle du TDSB, toute personne ayant fréquenté une école du conseil entre le 3 septembre 1985 et le 28 décembre 2024 est concernée. Pour la période 2017 à 2024 : nom, date de naissance, genre, numéro de carte santé, numéro d’immatriculation scolaire de l’Ontario, renseignements médicaux (allergies, conditions, blessures), adresse, téléphone, statut de résidence, notes de la direction incluant les notes disciplinaires. Pour 1985 à 2017 : nom, date de naissance, genre, numéro de carte santé, adresse et téléphone. Les parents et contacts d’urgence inscrits depuis 2017-2018 sont aussi touchés (noms, téléphones, courriels, adresses). Ne sont pas touchés, toujours selon le TDSB : les numéros d’assurance sociale, les données financières, les bulletins, les plans d’enseignement individualisés et les photos.

À l’échelle canadienne, le sondage de Global News publié le 8 mai 2025 comptait au moins 87 conseils scolaires, plus de 2,77 millions d’élèves actuels et anciens et 35 951 employés confirmés. Le rapport ontarien évalue à environ 3,86 millions le nombre d’Ontariens touchés et à 5,2 millions le nombre de personnes au pays (CP24). À Terre-Neuve-et-Labrador, le rapport de la commissaire précise que 244 917 numéros d’assurance-maladie provenaient des dossiers d’élèves, actuels et anciens, et conclut que leur collecte n’était pas autorisée par la loi. À l’Île-du-Prince-Édouard, toutes les autorités scolaires ont été touchées (Global News). En Nouvelle-Écosse, le Cape Breton-Victoria Regional Centre for Education a avisé environ 35 000 élèves et 3 200 employés.

PowerSchool a offert deux ans de protection d’identité (Experian) aux élèves touchés et deux ans de surveillance de crédit (TransUnion) à ceux qui ont atteint la majorité (page du TDSB).

Ce qu’en disent les parents, les experts et les autorités

Les réactions publiées viennent surtout des commissaires à la vie privée, ce qui est en soi un signal : ce sont eux qui ont tiré les leçons.

« This was a significant breach that affected hundreds of thousands of people across the province, many of them children. » Kerry Hatfield, commissaire à l’information et à la protection de la vie privée de Terre-Neuve-et-Labrador, communiqué du 12 mai 2026.

La même commissaire résume la leçon de son rapport ainsi : protéger les renseignements personnels exige « une surveillance active, une collecte limitée et une vérification continue » (traduction libre du communiqué). Elle recommande au ministère de cesser immédiatement de collecter les numéros d’assurance-maladie et de les retirer des dossiers scolaires.

En Ontario, la commissaire Patricia Kosseim a conclu que les conseils scolaires n’avaient pas de « mesures raisonnables » pour prévenir l’accès non autorisé. Elle a déclaré que les institutions « ne peuvent pas externaliser leur responsabilité » (« cannot outsource their accountability ») et que certaines avaient « sur-collecté des renseignements personnels sensibles » (CP24, 18 novembre 2025). Le rapport note aussi qu’un conseil n’avait aucun plan de réponse aux incidents, que des contrats omettaient des clauses de sécurité et que des données étaient conservées bien plus longtemps que nécessaire, faute de calendrier de conservation.

Au fédéral, le commissaire Philippe Dufresne a écrit en clôturant son enquête : « Ces mesures sont d’autant plus importantes lorsqu’il est question de renseignements personnels concernant des enfants. » (CPVP, 22 juillet 2025).

Du côté des conseils, le porte-parole du TDSB, Ryan Bird, a dit que le conseil prend la protection des renseignements « très au sérieux » et travaillera avec PowerSchool sur les recommandations (CP24). Du côté des parents, David Schult, président de la P.E.I. Home and School Federation, s’est dit inquiet pour la vie privée future des enfants (CBC, 4 février 2025, paraphrase). Nous n’avons pas trouvé de déclaration publique d’associations de parents québécoises, ce qui est logique puisque le Québec n’a pas été touché.

Ce que ça change pour votre service de garde

Le Québec a été épargné parce que presque aucune organisation d’ici n’utilise PowerSchool, pas parce que nos pratiques étaient meilleures. Un CPE ou une garderie confie pourtant les mêmes types de données à un fournisseur de logiciel de gestion. Voici ce qu’on peut faire sans équipe TI.

  1. Faire l’inventaire de ce que vous collectez, cette semaine. Ouvrez votre logiciel de gestion et listez chaque champ rempli pour un enfant et un parent. Pour chacun, demandez-vous : « Est-ce qu’une loi ou un règlement m’oblige à l’avoir ? » Les rapports ontarien et terre-neuvien ont conclu que des numéros de carte santé et des NAS étaient collectés sans nécessité. Si un champ n’a pas de raison d’être, cessez de le remplir.
  2. Fixer une durée de conservation et l’appliquer. Le TDSB avait des dossiers remontant à 1985. Décidez par écrit combien de temps vous gardez le dossier d’un enfant après son départ (en respectant vos obligations légales et celles du ministère de la Famille), puis demandez à votre fournisseur comment supprimer les dossiers périmés. Un dossier supprimé ne peut pas fuir.
  3. Demander par écrit à votre fournisseur comment ses propres employés et sous-traitants accèdent à vos données. La brèche est passée par un portail de soutien et les identifiants d’un ancien sous-traitant. Les questions à poser : les accès de soutien exigent-ils une authentification multifacteur ? Les comptes des départs sont-ils désactivés le jour même ? Qui audite ces accès ? Un fournisseur sérieux répond en quelques jours.
  4. Relire votre contrat pour y trouver trois clauses. Le délai dans lequel le fournisseur doit vous aviser d’un incident, son obligation de vous aider à aviser la Commission d’accès à l’information et les parents, et ce qu’il advient des données à la fin du contrat. Le rapport ontarien a reproché à des conseils d’avoir omis ces clauses. Si elles manquent, demandez un avenant.
  5. Préparer un gabarit d’avis aux parents avant d’en avoir besoin. Une page : ce qui s’est passé, quelles données, ce qu’on fait, ce que le parent peut faire, qui appeler. Le TDSB a dû rédiger le sien pendant l’incident, puis un deuxième cinq mois plus tard quand les données sont ressorties. Un gabarit prêt se remplit en une heure.
  6. Ne pas compter sur une rançon payée. Ce cas démontre qu’une promesse de destruction n’engage que ceux qui y croient. Si un jour on vous demande de l’argent, votre vraie protection est ailleurs : une sauvegarde testée et hors ligne, et des données réduites au minimum.

Foire aux questions

Pourquoi le Québec n’a-t-il pas été touché par la brèche PowerSchool ?

Selon la réponse du ministère de l’Éducation du Québec à Global News (28 janvier 2025), une seule organisation québécoise utilise PowerSchool et elle n’a pas été touchée. Les centres de services scolaires du Québec utilisent d’autres systèmes. C’est une question d’écosystème logiciel, pas de meilleures pratiques.

Payer la rançon a-t-il servi à quelque chose ?

PowerSchool a payé pour obtenir la destruction des données. Le TDSB a appris la semaine du 4 mai 2025 que les données n’avaient pas été détruites, et des conseils ont reçu de nouvelles demandes. Le paiement n’a donc pas empêché la réutilisation des données.

Les numéros d’assurance sociale ont-ils été volés ?

Pas au TDSB, à Peel ni à Calgary, selon ces conseils. Le CPVP indique toutefois que, dans certains cas, des renseignements médicaux et des numéros d’assurance sociale faisaient partie des données touchées, selon les organisations.

Quelle est la leçon principale pour un petit service de garde ?

Que votre responsabilité envers les parents ne se transfère pas au fournisseur. Les commissaires l’ont écrit noir sur blanc. Collecter moins, conserver moins longtemps et exiger des réponses écrites de son fournisseur sont trois gestes à la portée de tout gestionnaire.

Transparence

Ce blogue est publié par Amisgest Technologie inc., éditeur de logiciels pour les services de garde éducatifs. Les faits rapportés ici proviennent de sources publiques citées en fin d’article. Une erreur à signaler ? Écrivez à info@amisgest.ca.

Sources

À lire aussi

Étiqueté , , , ,

Laisser un commentaire

Votre adresse courriel ne sera pas publiée. Les champs obligatoires sont indiqués avec *