Un groupe de cybercriminels russes a diffusé sur le web clandestin des captures d'écran qui semblent provenir d'une base de données du District scolaire de Burnaby, en Colombie-Britannique, dérobée lors d'une cyberattaque en septembre.

Le groupe, qui se présente sous le nom de Qilin, dit offrir en téléchargement les informations qui auraient été dérobées lors de cette importante fuite de données.

Qilin est reconnu comme un fournisseur de rançongiciels en tant que service (RaaS). L’entité propose ses outils et son infrastructure à d’autres pirates informatiques en échange d’un pourcentage des rançons soutirées aux victimes.

Les pirates ont obtenu un accès au système informatique du district scolaire le 21 septembre, selon le district scolaire.

Le groupe Qilin a publié sur le web clandestin ce qui semble être les données volées du District scolaire de Burnaby.

Photo : Radio-Canada

Les responsables de cette cyberattaque semblent avoir ensuite mis en ligne les données volées presque immédiatement.

Le 14 octobre, une lettre envoyée aux familles signée par le surintendant du District scolaire de Burnaby, Karim Hachlaf, confirmait que des fichiers contenant des renseignements personnels ont été copiés et dérobés par les criminels responsables de l'attaque.

Il avait alors indiqué que certaines informations sur les trajets d’autobus, les dossiers d’intervention auprès d’élèves et d’autres évaluations scolaires avaient été compromises dans un nombre restreint de cas.

Bien que CBC/Radio-Canada n’ait pas téléchargé les fichiers trouvés sur le web clandestin, les captures d'écran sur le site de Qilin montrent effectivement des documents portant l'en-tête du district scolaire et une catégorie liée aux ressources humaines.

Les captures d'écran montrent des fichiers portant les mentions Discipline, Feuille de paie, Enquête sur le harcèlement ou Santé mentale et bien-être.

Les renseignements subtilisés comprennent des dossiers médicaux, des évaluations pédagogiques détaillées et des données personnelles d'élèves et d'employés, d’après la direction du district scolaire.

Le District scolaire de Burnaby a plus récemment déclaré à CBC/Radio-Canada avoir retenu les services d’experts externes pour confirmer si ses données ont été publiées ou non sur le web clandestin, et pour cerner l’ampleur des données touchées.

Une attaque courante à la rentrée

Ce type d'attaques ciblées contre les écoles est particulièrement courant entre septembre et octobre, au début de l’année scolaire, signale Chester Wisniewski, directeur et chef mondial de la sécurité de l'information chez Sophos, une entreprise spécialisée en cybersécurité.

Elles sont vulnérables, parce qu'elles desservent une large portion du public, et la pression que les citoyens peuvent exercer sur les écoles pour les faire réagir si elles sont incapables d’ouvrir ou hors ligne est énorme.

Des pirates informatiques ont accédé à la base de données du District scolaire de Burnaby en septembre.

Photo : Radio-Canada

Les pirates sont normalement désireux de mettre la main sur des informations sensibles à utiliser comme levier, notamment les données personnelles. Ils essaient de mettre le personnel et les parents en colère pour qu’ils poussent l’école à verser la rançon, explique le spécialiste en cybersécurité.

Ainsi, les voleurs se fichent du bulletin de notes de votre enfant, fait valoir Chester Wisniewski. Mais ils pourraient s'intéresser à leurs handicaps, à leurs problèmes d’apprentissage ou comportementaux, ou aux informations sensibles et financières des travailleurs de l'école.

Il encourage d’ailleurs le public à ne pas critiquer les victimes. Le directeur chez Sophos souligne aussi les efforts du district scolaire pour renforcer la sécurité de ses données avec l’aide d’une autre firme.

La probabilité qu’il arrive quoi que ce soit aux données de votre enfant, bien qu’elles soient publiées sur le web clandestin, demeure très faible .

Chester Wisniewski se montre également rassurant auprès des parents inquiets. Des fuites du même genre ont rarement mené à des préjudices individuels.

C’est certain qu’il s’agit de quelque chose d’important et qu'il faut prendre au sérieux pour se protéger.

D’après un texte (nouvelle fenêtre) de Jason Proctor, Jodie Martinson, Jon Hernandez et Ivan Angelovski