Hacker vole dix ans de données du district scolaire de San Diego

Un hacker a volé les données personnelles de plus de 500 000 employés et étudiants du San Diego Unified School District. le district a révélé dans un avis d’infraction publié sur son site internet vendredi avant les vacances de Noël.

La violation est survenue parce que l’attaquant a eu accès aux informations d’identification du personnel via une tactique appelée phishing: l’envoi de courriels authentiques redirigeant les utilisateurs vers de fausses pages de connexion lorsque les attaquants collectent les informations d’identification.

L’attaque n’est pas passée inaperçue. Certains membres du personnel ont signalé ces e-mails drôles au personnel informatique, qui a enquêté et a finalement découvert la faille en octobre de cette année.

Les responsables du district ont déclaré que le hacker avait eu accès à son réseau entre janvier 2018 et le 1er novembre 2018, mais qu’il avait volé des données sur les étudiants et le personnel remontant à l’année scolaire 2008-2009.

Dans un courrier électronique envoyé aux victimes concernées, les responsables du district ont déclaré avoir laissé le hacker fonctionner après sa découverte.

« Il était nécessaire pour notre enquête de ne pas avertir immédiatement les responsables que nous étions au courant de leurs activités », a déclaré le district dans sa lettre. « Nous informons toutes les victimes potentielles maintenant parce que cette phase de l’enquête est terminée. Cependant, notre enquête complète se poursuit. »

Leurs efforts n’ont pas été vains. Les responsables du district ont déclaré que la police unifiée de San Diego et son personnel informatique avaient identifié le hacker et réinitialisé tous les comptes compromis afin d’empêcher tout accès ultérieur à son réseau. On pense que le hacker a eu accès à plus de 50 comptes d’employés de district.

Le hacker a utilisé l’accès à ce compte pour collecter des informations sur les étudiants et le personnel. Selon le San Diego Unified School District, les informations suivantes ont été recueillies au cours des onze mois pendant lesquels le hacker a eu accès à son réseau:

  • Informations d’identification personnelles des étudiants et du personnel sélectionné, à savoir: nom et prénom, date de naissance, adresse postale, adresse postale, numéro de téléphone;
  • Informations sur l’inscription des étudiants, y compris: horaire, informations sur les incidents de discipline, informations sur la santé, école (s) de fréquentation, informations sur le transfert, mentions légales au dossier, données de présence
  • Étudiant et personnel sélectionné Numéro de sécurité sociale et/ou numéro d’identification d’étudiant de l’État
  • Informations d’identification personnelles de l’élève et du parent, du tuteur et du contact d’urgence, y compris: nom et prénom, numéros de téléphone, adresse (si fournie), adresse de courrier électronique, informations sur l’employeur;
  • Informations sélectionnées sur les avantages du personnel, à savoir: informations sur les inscriptions aux services de santé, informations d’identification du bénéficiaire, informations d’identité dépendantes, informations sur les comptes d’épargne ou de dépense flexible;
  • Information choisie sur la paie et la rémunération du personnel, y compris: chèques de paie et avis de paie, informations sur les déductions, informations fiscales, nom de l’institution financière de dépôt direct, numéro d’acheminement et numéro de compte, informations sur le salaire et les congés;

« Que vous receviez ou non une notification, nous vous recommandons néanmoins de contacter les agences d’évaluation du crédit pour les avertir de la violation de vos informations », ont déclaré des responsables.

« Vous pouvez placer une alerte de vol d’identité/fraude, obtenir des informations sur le gel de votre pays, ou commander un rapport de crédit gratuit auprès de l’une des trois agences d’évaluation du crédit. Pour plus d’informations, cliquez ici. »

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *