Skip to main content

Cybersécurité Petite Enfance

Cybersécurité Petite Enfance
Menu

TDSB et LockBit : de vraies données d’enfants dans un environnement de test

Faille de sécurité Par Eric Rousseau · 12 juillet 2024 · 9 min de lecture
Deux écrans d'ordinateur côte à côte sur un bureau en bois clair avec une plante verte
En bref

En juin 2024, un rançongiciel a frappé un environnement de test du plus grand conseil scolaire du Canada ; il contenait de vraies données d’élèves.

Quand on parle de sécurité informatique, on pense au « vrai » système : celui qui tourne tous les jours, avec les dossiers des enfants. On pense moins aux copies. Pourtant, en juin 2024, c’est dans un environnement de test que des pirates sont entrés au Toronto District School Board (TDSB), et cet environnement contenait des renseignements réels sur les élèves de l’année 2023-2024. L’histoire est ontarienne, mais le réflexe qu’elle dénonce existe partout, y compris chez les fournisseurs de logiciels de garderie et dans nos propres bureaux : copier les vraies données « juste pour tester ».

Ce qui s’est passé

Le TDSB gère 582 écoles et environ 235 000 élèves, ce qui en fait le plus grand conseil scolaire au pays (The Record, 30 août 2024). Voici la séquence, telle que rapportée par le conseil lui-même et par les médias.

  • 12 juin 2024 : le TDSB annonce qu’une partie non autorisée a accédé à son « environnement de test technologique », un espace utilisé par ses équipes TI pour essayer des programmes avant de les déployer sur le système principal. Le conseil affirme que cet environnement est séparé du réseau officiel (La Presse Canadienne, reprise par Global News et CTV, 29 août 2024).
  • Juin à août 2024 : le conseil fait appel à des spécialistes externes, isole les systèmes touchés, déconnecte l’environnement de test, avise les forces de l’ordre et la commissaire à l’information et à la protection de la vie privée de l’Ontario (CIPVP) (CyberInsider, 30 août 2024).
  • 29 août 2024 : dans une lettre aux parents, le TDSB reconnaît que l’environnement de test contenait des renseignements d’élèves de l’année 2023-2024. Le même soir, le groupe LockBit revendique l’attaque sur son site de fuite et donne 13 jours au conseil pour payer une rançon non précisée, soit jusqu’au 12 septembre 2024 (The Record ; CyberInsider).
  • Après le 12 septembre 2024 : le TDSB maintient n’avoir observé aucune publication des données, y compris par sa surveillance du dark web.

Le mécanisme mérite une explication simple. Un environnement de test sert à vérifier qu’une nouvelle version d’un logiciel fonctionne avant de la mettre en service. Pour que le test soit réaliste, des équipes y copient parfois une partie des vraies données. Selon un document de la CIPVP de l’Ontario repris par la presse spécialisée, c’est ce qui s’est produit au TDSB : un sous-ensemble des données de production avait été copié dans l’environnement de test, et cet environnement n’avait ni antivirus ni surveillance en temps réel, même s’il était séparé du réseau de production. Le même document évalue à environ 280 000 le nombre de personnes dont des renseignements s’y trouvaient. Le TDSB n’a jamais publié lui-même de chiffre.

Un point à ne pas déformer : une entreprise de sécurité a avancé qu’environ 96 Go de données auraient été exfiltrés. Le TDSB n’a jamais confirmé ce chiffre, ni la revendication de LockBit. Nous ne le présentons donc pas comme un fait.

Ordinateur portable ouvert à côté d'un carnet de notes et d'un stylo sur une table en bois

Un portable et un carnet de notes sur un bureau en bois. Photo : StartupStockPhotos (Pixabay), CC0 (Wikimedia Commons)

Les données touchées

Selon la lettre du TDSB aux parents (29 août 2024), l’environnement de test contenait, pour des élèves de 2023-2024 : le nom, le nom de l’école, le niveau scolaire, l’adresse courriel du TDSB, le numéro d’élève et le jour et le mois de naissance. Pas d’année de naissance, pas d’adresse résidentielle, pas de renseignements médicaux ni financiers, selon ce que le conseil a publié. C’est ce qui a permis au TDSB d’écrire que « le risque pour les élèves est faible ».

Il faut quand même relativiser. Un nom, une école, un niveau et une date d’anniversaire partielle suffisent à écrire un courriel d’hameçonnage très crédible à un parent : « Bonjour, c’est l’école de votre fille, en 3e année, dont l’anniversaire approche le 14… ». C’est exactement le type d’abus contre lequel le conseil a invité les familles à rester vigilantes.

Ce qu’en disent les parents, les experts et les autorités

Les réactions publiques sont minces dans ce dossier. Le TDSB a communiqué par lettres et par sa page web ; les médias ont surtout relayé ses déclarations. Nous n’avons trouvé aucune citation de parent ni de syndicat. Voici ce qui a réellement été publié.

« The risk to students is low. » Position du TDSB, fondée sur l’évaluation de ses équipes de cybersécurité et de partenaires externes, citée dans la lettre aux parents du 29 août 2024 (La Presse Canadienne, Global News).

The Record (Recorded Future News) rapporte que le TDSB n’a pas répondu à ses questions sur la revendication de LockBit, et que c’est sur le conseil de la CIPVP de l’Ontario que le conseil a annoncé publiquement la fuite, afin que les personnes touchées puissent déposer une plainte. Le même média rappelle le contexte : LockBit tentait de se relancer après une opération policière internationale de février 2024, et des experts cités signalaient que plusieurs revendications publiées le même jour contenaient des erreurs ou visaient des victimes inexistantes.

Alex Lekander, de CyberInsider (30 août 2024), a souligné que l’affirmation du TDSB selon laquelle aucune donnée n’a fuité ne vaut que « pour l’instant », tant que la menace de publication de LockBit demeure. À notre connaissance, aucune publication des données n’a été rapportée depuis.

Ce que ça change pour votre service de garde

Un CPE n’a pas d’environnement de test. Mais il a des copies : le fichier Excel exporté « pour faire des statistiques », l’ancienne version du logiciel sur le vieux portable, la clé USB de la sauvegarde de 2022, le compte de démonstration que le fournisseur vous a ouvert avec vos vraies données. Chaque copie est un deuxième système à protéger.

  1. Dresser la liste de toutes les copies de données d’enfants, en une heure. Faites le tour : ordinateurs, portables, clés USB, disques externes, courriels avec pièces jointes, Google Drive ou OneDrive personnels, imprimés dans un classeur. Notez pour chacune : qui y a accès, et depuis quand. Vous découvrirez probablement des copies oubliées.
  2. Supprimer ce qui ne sert plus, de façon définitive. Une exportation vieille de deux ans n’a aucune valeur et tous les risques. Supprimez, videz la corbeille, et pour les clés USB ou disques réformés, détruisez-les physiquement ou faites-les effacer de manière sécuritaire. Règle : si vous ne pouvez pas dire pourquoi une copie existe, elle ne devrait pas exister.
  3. Exiger des données fictives pour les essais et les démonstrations. Quand vous testez un nouveau logiciel ou une nouvelle fonction, utilisez des enfants inventés : « Enfant Test 1, né le 1er janvier ». Demandez à votre fournisseur s’il teste ses propres versions avec des données fictives ou anonymisées, et si vos données réelles sont copiées hors de l’environnement de production. Une réponse floue est un signal.
  4. Protéger les copies au même niveau que l’original. Un portable avec des données d’enfants doit avoir un mot de passe fort, le chiffrement du disque activé (BitLocker sur Windows, FileVault sur Mac, inclus et gratuits) et un antivirus à jour. L’environnement de test du TDSB n’avait ni antivirus ni surveillance : c’est ce « deuxième système moins protégé » qu’il faut éliminer chez vous.
  5. Décider à l’avance de ce que vous direz aux parents. Le TDSB a mis deux mois et demi entre l’annonce de l’intrusion et la confirmation que des données d’élèves étaient en cause. Rédigez un gabarit d’avis en deux versions : « nous enquêtons » et « voici les données touchées ». Ça évite de choisir ses mots sous pression.
  6. Déclarer tout incident à la Commission d’accès à l’information quand le risque de préjudice sérieux existe. C’est une obligation de la Loi 25 pour les organisations québécoises, et un registre des incidents doit être tenu même pour les cas mineurs. Un simple tableau (date, nature, données, personnes, mesures) suffit.

Foire aux questions

Un environnement de test est-il moins dangereux qu’un système de production ?

Non, dès qu’il contient de vraies données. Pour un pirate, une copie des dossiers a la même valeur que l’original. Souvent, elle est même moins protégée, comme au TDSB où l’environnement de test n’avait ni antivirus ni surveillance selon la CIPVP de l’Ontario.

Combien d’élèves ont été touchés ?

Le TDSB n’a pas publié de nombre. Un document de la CIPVP de l’Ontario repris par la presse spécialisée parle d’environ 280 000 personnes dont des renseignements figuraient dans l’environnement de test.

Les données ont-elles été publiées ?

LockBit a menacé de le faire après le 12 septembre 2024. Le TDSB a déclaré n’avoir observé aucune publication, y compris sur le dark web. Aucune publication n’a été rapportée par les médias depuis.

Qu’est-ce que je demande à mon fournisseur de logiciel de garderie à la suite de ce cas ?

Trois questions : utilise-t-il des données fictives pour tester ses nouvelles versions ? Nos données sont-elles copiées ailleurs que dans l’environnement de production ? Ses environnements secondaires sont-ils protégés et surveillés comme le principal ?

Transparence

Ce blogue est publié par Amisgest Technologie inc., éditeur de logiciels pour les services de garde éducatifs. Les faits rapportés ici proviennent de sources publiques citées en fin d’article. Une erreur à signaler ? Écrivez à info@amisgest.ca.

Sources

À lire aussi

Étiqueté , , , ,

Laisser un commentaire

Votre adresse courriel ne sera pas publiée. Les champs obligatoires sont indiqués avec *