Les\nhackers ont \u00e9t\u00e9 en mesure d’abuser d’une vuln\u00e9rabilit\u00e9 dans les logiciels\nutilis\u00e9s par des lyc\u00e9es et des universit\u00e9s. \nCela leur a permis d’acc\u00e9der aux informations sur les \u00e9tudiants, telles\nque les num\u00e9ros de s\u00e9curit\u00e9 sociale, les informations financi\u00e8res personnelles\net les notes.<\/p>\n\n\n\n
Le\nminist\u00e8re am\u00e9ricain de l’\u00c9ducation a lanc\u00e9 une alerte\nde s\u00e9curit\u00e9<\/a><\/strong> plus t\u00f4t cette semaine, indiquant que 62 universit\u00e9s\net coll\u00e8ges avaient \u00e9t\u00e9 touch\u00e9s. Les donn\u00e9es acquises par les hackers ont \u00e9t\u00e9\nutilis\u00e9es pour cr\u00e9er de faux comptes \u00e0 des fins criminelles.<\/p>\n\n\n\n La\nvuln\u00e9rabilit\u00e9 affecte Ellucian Banner Enterprise Identity Services et Ellucian\nBanner Web Tailor, deux modules du syst\u00e8me ERP Ellucian Banner.<\/p>\n\n\n\n Les\nactions des hackers<\/strong><\/p>\n\n\n\n Il\nsemble que les attaquants aient \u00e9t\u00e9 capables de prendre en charge les donn\u00e9es\nde connexion des utilisateurs lorsqu’ils ont tent\u00e9 de se connecter.<\/p>\n\n\n\n Il\na \u00e9t\u00e9 affirm\u00e9 que ces agents criminels ont fouill\u00e9 activement sur Internet \u00e0 la\nrecherche d’institutions \u00e0 cibler en utilisant cette faille. Cette recherche\nleur a fourni une liste d’institutions vuln\u00e9rables. Les hackers<\/a><\/strong>\nseraient capable alors au syst\u00e8me une fois que l’utilisateur se serait\nconnect\u00e9. La quantit\u00e9 d’informations qu’ils pouvaient obtenir et la distance\nqui les s\u00e9parait des syst\u00e8mes d\u00e9pendaient des droits administratifs de\nl’utilisateur qu’ils choisissaient de pirater.<\/p>\n\n\n\n Gr\u00e2ce\n\u00e0 ces moyens, ils pourraient \u00e9ventuellement naviguer librement dans le syst\u00e8me\nde l’institution et acc\u00e9der \u00e0 des donn\u00e9es personnelles et sensibles – des\ndonn\u00e9es qui sont habituellement prot\u00e9g\u00e9es par la loi.<\/p>\n\n\n\n Les\nhackers pouvaient \u00e9galement manipuler ces informations, par exemple en\nmodifiant des donn\u00e9es personnelles ou des notes ou en refusant d’obtenir une\naide financi\u00e8re aux \u00e9tudiants.<\/p>\n\n\n\n Bien\nque de nombreux rapports indiquent que les donn\u00e9es ont ensuite \u00e9t\u00e9 utilis\u00e9es \u00e0\ndes fins criminelles, aucun d\u00e9tail n’a \u00e9t\u00e9 fourni sur la nature ou l’\u00e9tendue de\nl’activit\u00e9.<\/p>\n\n\n\n La\nFSA a d\u00e9clar\u00e9 que les institutions concern\u00e9es avaient signal\u00e9 que la\nvuln\u00e9rabilit\u00e9 avait \u00e9t\u00e9 exploit\u00e9e pour manipuler les syst\u00e8mes d’inscription ou\nd’admission, ainsi que pour cr\u00e9er des centaines de faux comptes d’\u00e9tudiants en\nquelques jours.<\/p>\n\n\n\n Le\npoint de vue d’Ellucian<\/strong><\/p>\n\n\n\n Le\nresponsable de la s\u00e9curit\u00e9 de l\u2019information chez Ellucian a envoy\u00e9 par courrier\n\u00e9lectronique une d\u00e9claration selon laquelle il n\u2019y avait aucun lien entre la\nfaille de s\u00e9curit\u00e9 et la cr\u00e9ation de faux comptes – les deux probl\u00e8mes\nn\u2019\u00e9taient pas totalement li\u00e9s.<\/p>\n\n\n\n Ellucian<\/a><\/strong> exerce ses activit\u00e9s dans plus de 50 pays et aide plus de 2 500 institutions fournissant des solutions logicielles aux \u00e9tudiants, aux coll\u00e8ges et aux universit\u00e9s. Forts de plus de 5 d\u00e9cennies de savoir-faire, ils fournissent un logiciel qui aide \u00e0 organiser les donn\u00e9es et le flux de travail pour g\u00e9rer des t\u00e2ches telles que la paie du personnel, les notes des \u00e9tudiants, l’aide financi\u00e8re aux \u00e9tudiants et les admissions.<\/p>\n\n\n\n Ellucian\na fourni un correctif \u00e0 la faille il y a deux mois qui est \u00e0 t\u00e9l\u00e9charger par\nles utilisateurs. Cependant, le minist\u00e8re am\u00e9ricain de l’\u00e9ducation a d\u00e9clar\u00e9,\ncette semaine seulement, que des hackers avaient commenc\u00e9 \u00e0 exploiter cette\nfaille. On ne sait pas pourquoi il y a un d\u00e9lai de deux mois entre la cr\u00e9ation\ndu correctif et cette d\u00e9claration.<\/p>\n\n\n\n Le\n14 mai 2019, le correctif a \u00e9t\u00e9 cr\u00e9\u00e9 et une mise \u00e0 jour <\/a><\/strong> a \u00e9t\u00e9 publi\u00e9e, indiquant qu’une vuln\u00e9rabilit\u00e9\ndu m\u00e9canisme de v\u00e9rification de l’utilisateur utilis\u00e9 par les deux modules\navait \u00e9t\u00e9 d\u00e9couverte. Cette faiblesse signifiait que les hackers pouvaient\nacc\u00e9der \u00e0 distance aux sessions Web des victimes pour les pirater et acc\u00e9der\nainsi aux d\u00e9tails de leur compte.<\/p>\n\n\n\n