Sénateurs exigent des explications après une cyberattaque ciblant les données sensibles d'élèves via une plateforme anonyme

Deux sénateurs américains, Maggie Hassan (Démocrate, New Hampshire) et Jim Banks (Républicain, Indiana), ont adressé une lettre à l’entreprise Navigate360 pour exiger des réponses après une cyberattaque ayant compromis des données sensibles d’élèves via sa plateforme de signalement anonyme.

Dans leur courrier daté du 24 avril, les élus ont exprimé leur « inquiétude majeure » quant aux risques encourus par les élèves, le personnel éducatif et les établissements scolaires. « Nous sommes particulièrement préoccupés par les rapports indiquant que l’attaque a exploité des vulnérabilités de la plateforme pour voler des informations personnelles hautement sensibles des élèves », ont-ils écrit.

Les sénateurs demandent à Navigate360 de fournir des précisions sur :

• Les données volées lors de l’attaque ;
• Les mesures mises en place par l’entreprise pour y répondre ;
• Les garanties supplémentaires pour éviter une récidive.

Selon Navigate360, plus de 30 000 écoles et 5 000 agences de sécurité publique utilisent ses services. Les pirates affirment avoir dérobé 93 gigaoctets de données lors de cette intrusion.

« Votre entreprise commercialise sa plateforme comme un service de signalement anonyme », ont souligné Hassan et Banks. « Pourtant, les informations personnelles récemment divulguées par les hackers remettent en cause cette affirmation. Cela met en danger la sécurité des élèves et érode la confiance du public dans ces outils de signalement. »

Les experts en éducation et sécurité scolaire craignent que l’absence de garantie d’anonymat dissuade les élèves de signaler des situations à risque.

À l’époque de l’incident, le PDG de Navigate360, JP Guilbault, avait indiqué que l’entreprise travaillait à déterminer l’ampleur de l’attaque, sans confirmer la fuite de données sensibles. L’entreprise n’a pas encore réagi aux demandes des sénateurs.

Une étude du Center for Internet Security révèle que 82 % des écoles primaires et secondaires ont subi une cyberattaque entre juillet 2023 et décembre 2024. La pandémie de COVID-19 a amplifié ces menaces, les hackers visant souvent les établissements scolaires pour extorquer des données ou exiger des rançons.

Dans le cas de Navigate360, les pirates semblaient motivés par des raisons idéologiques. Dans un message, ils ont écrit : « N’effectuez pas le sale boulot pour les flics. Leur travail, c’est d’enquêter, pas le vôtre. Ils ne se soucient pas de vous, ils veulent des condamnations et des prisonniers pour alimenter les prisons privées. »

Les sénateurs ont également demandé à l’entreprise de préciser :

• Ses pratiques en matière de cybersécurité ;
• La nature exacte des données compromises ;
• Le caractère réellement anonyme de sa plateforme ;
• Les mesures d’accompagnement proposées aux districts scolaires.