Les cyber-attaques impactent les commissions scolaires – élèves, enseignants et administrateurs inclus – à un rythme exponentiel. Les écoles semblent être un trésor d’informations personnelles sensibles, la cible idéale pour une attaque rançongiciel.
En fait, l’autorité canadienne pour les enregistrements Internet a signalé que les commissions scolaires canadiennes ont connu, en moyenne, 50 tentatives d’attaque par semaine au cours d’une période de test de trois semaines.
Les étudiants, les enseignants et les administrateurs présentent des menaces
Alors que l’accent sur la littératie numérique se développe, des districts scolaires entiers adoptent une politique “apportez votre propre appareil”. Les téléphones intelligents aux ordinateurs, en passant par les montres et les appareils personnels, sont utilisés pour accéder au matériel pédagogique et aux systèmes de notation. Ces appareils présentent un risque lors de l’utilisation des réseaux scolaires en raison de leur nature diversifiée et du manque de contrôle sur l’application des correctifs de sécurité.
COVID joue un rôle dans les cyberattaques des commissions Scolaires
En mars 2020, la pandémie a incité d’innombrables commissions scolaires à mettre leurs cours en ligne. Sans avertissement avancé, les administrateurs du système scolaire ont vu des milliers d’appareils personnels utilisant les ressources réseau de leur commission scolaire à distance. Le manque de réseaux domestiques privés et sécurisés signifiait que les élèves, les enseignants et les administrateurs accédaient aux réseaux scolaires à partir d’emplacements non sécurisés… les rendant vulnérables aux attaques.
Les budgets de cybersécurité des commissions scolaires doivent augmenter
Security Magazine rapporte que les dépenses de cybersécurité de la maternelle à la 12e année ont atteint plus de 230 millions de dollars en 2019, mais cet investissement couvre à peine la protection de cybersécurité requise. Surtout face à un système basé sur l’apprentissage à distance, le budget limité rend les écoles et les commissions scolaires vulnérables aux cyberattaques.
L’éducation pour la cyber–sensibilisation des utilisateurs est la clé de la prévention
Les étudiants sont motivés par un contenu intéressant et ne portent pas toujours attention à la source. Ils n’ont tout simplement peut-être pas la capacité de comprendre le risque d’ouvrir un courriel, de cliquer sur un lien ou d’utiliser une classe Google. Franchement, c’est beaucoup demander à un jeune étudiant qui apprend à la maison.
Les enseignants et les administrateurs, cependant, sont la proie des mêmes schémas – possiblement avec une cause différente. Ils peuvent être distraits par le nouveau format d’apprentissage en ligne ou ne pas avoir les connaissances nécessaires pour comprendre les risques liés au travail en ligne. Ce sont, après tout, des professionnels habitués aux rôles en classe.
Les cyberattaquants comprennent les opportunités créées par les étudiants qui passent désormais leurs journées en ligne et la pression exercée sur les enseignants travaillant dans un nouvel environnement. Ces attaquants savent que les personnes pressées, désintéressées ou sous pression sont plus susceptibles de répondre à un message qui semble urgent ou à un lien semblant utile.
Voilà pourquoi l’éducation des enseignants et des administrateurs sur les cyber-risques est clé: une fois que ces personnes comprennent l’importance d’examiner les invitations et d’utiliser une approche prudente envers les pièces jointes et les liens dans les courriels, elles peuvent jouer un rôle important dans la réduction du nombre d’attaques qui infectent leurs réseaux scolaires.
Études de cas: les commissions scolaires impactés par les cyberattaques
Étude de Cas: Commission Scolaire Catholique du District Waterloo
En novembre 2019, la commission scolaire catholique du district de Waterloo a été confronté à une attaque malveillante “importante”. Bien que la commission or conseil scolaire n’a pas perdu de donnée d’élèves, de personnel ou d’administration, la commission scolaire a temporairement perdu tout accès à son réseau, y compris les courriels. Il a fallu 5 jours pour l’équipe informatique de déployer pleinement or complètement leur plan de reprise après incident, durant lequel la commission scolaire avait un accès limité aux ressources réseau.
Ceci était vraiment le meilleur scénario à une époque marquée par les cyberattaques contre les écoles.
Étude de Cas: Conseil Scolaire du District Peel
Au début de janvier 2021, le conseil scolaire de district de Peel a connu des “difficultés techniques” qui ont permis à une personne sans lien avec le conseil scolaire ou ses écoles d’accéder à une classe Google. Après avoir perturbé la classe, l’enseignante a mis fin à la session et a alerté son conseil scolaire.
Alors que l’apprentissage à distance continue afin de limiter les effets de la COVID, une cybersécurité qui garantit que seuls les utilisateurs enregistrés peuvent accéder aux applications SaaS est essentiel.
Étude de Cas: Conseil Scolaire du District Peel
In March 2020, The Sheldon Independent School District faced the fallout of a ransomware attack. Thought to have spun out from an email, the attack immobilized the school board’s network and hijacked critical data about students and teachers. After negotiating and paying a ransom, the school board lost approximately 10% of its files. Fearing the attackers would leverage the data, despite having paid the ransom, the school board advised parents to revisit their children’s data security – especially unique identifying information like a social security number.
As the prospect of cyber attacks grows more lucrative, attackers are expected to look for multi-vector opportunities that provide access to a wide range of corporate and individual user data. Analysts expect attackers to demand ransom from both the corporate entity who was the source of the compromise (in this case, the school board) and the individuals whose data was compromised.
Étude de cas: Le District Scolaire Sheldon Independent School District
En mars 2020, le Sheldon Independent School Disctrict a fait face aux retombées d’une attaque de rançongiciel. Présumément provenue d’un courriel, l’attaque a immobilisé le réseau du district scolaire et pris en otage des données critiques sur les élèves et les enseignants. Après avoir négocié et payé une rançon, le district a perdu environ 10% de ses fichiers. Craignant que les attaquants exploitent les données, même si la rançon a été payée, le district scolaire a conseillé aux parents de revoir la sécurité des données de leurs enfants – en particulier les informations d’identification uniques comme un numéro d’assurance sociale.
Au fur et à mesure que le prospect de cyberattaques devient de plus en plus lucratif, on s’attend à ce que les attaquants recherchent des opportunités multi-vecteurs qui donnent accès à un large éventail de données sur les entreprises et les utilisateurs individuels. Les analystes s’attendent à ce que les attaquants exigent une rançon à la fois de l’entité corporative qui était à l’origine de la compromission (dans ce cas, le district scolaire) et aux personnes dont les données ont été compromises.
Étude de cas: écoles publiques du comté Baltimore
En novembre 2020, les écoles publiques du comté de Baltimore ont été la proie d’une attaque rançongiciel, bloquant le personnel et les étudiants hors des ordinateurs, courriels, site web et systèmes d’évaluation. Avec des cours prenant place en ligne pendant la pandémie, l’attaque a effectivement forcé toutes les écoles du comté à fermer.
Après avoir répondu à l’attaque, un audit des ressources de cybersécurité à l’échelle des écoles du comté a indiqué que l’attaque a révélé une mauvaise protection des données personnelles, une gestion laxiste des mots de passe, et l’absence de plans de recouvrement après incident.
Types d‘attaques impactant les Commissions Scolaires
Les écoles et les commissions scolaires sont souvent impactées par les attaques d’hameçonnage et de rançongiciel. Voici une courte liste d’attaques que vos administrateurs et enseignants devraient rechercher.
Hameçonnage
Une attaque d’hameçonnage distribue une requête malveillante via un courriel. Une fois ouvert, le courriel oblige les étudiants, les enseignants ou les administrateurs à divulguer des données personnelles importantes.
Harponnage
Les attaques d’harponnage sont des campagnes hautement ciblées qui obligent les étudiants, les enseignants et les administrateurs à transférer des données importantes à un cyberattaquant. L’attaquant se fait souvent passer pour une personne ou une entreprise de confiance. Dans le cas de l’hameçonnage financier, les victimes sont contraintes à faire des virements électroniques ou de fournir des cartes-cadeaux. Il s’agit une attaque plus courante parmi les administrateurs, qui peuvent penser qu’ils remplissent une partie de leurs responsabilités professionnelles.
Logiciel malveillant
Un logiciel malveillant est une variété d’attaque qui déguise un courriel, un lien ou un fichier en tant que ressource légitime. Une fois ouvert ou cliqué, un logiciel malveillant se propage sur l’appareil, puis sur tout un réseau. L’intention de cette attaque est de voler quelque chose d’un réseau.
Rançongiciel
Un rançongiciel est un type de logiciel malveillant. Ces attaques incitent les utilisateurs à ouvrir un lien ou un fichier malveillant, qui propage ensuite des logiciels malveillants sur un réseau – dans le but de voler le contrôle des données critiques. L’attaquant tient alors les données en otage jusqu’à ce qu’une rançon soit payée. Les écoles et les commissions scolaires devraient se préoccuper non seulement de récupérer leurs données, mais également des amendes et poursuites potentielles liées aux violations.
Rôle de la détection sur les terminaux dans la protection des Commissions Scolaires
La gestion des cyber-risques dans une commission scolaire nécessite de l’attention, des connaissances et de la visibilité.
Les étapes pour se préparer à une cyberattaque comprennent:
- Faire le bilan: Comprendre les types d’appareils sur votre réseau. Comprendre les types d’applications, y compris les logiciels installés et SaaS (par exemple, Classe Google).
- Planification en cas de catastrophe: Mise en œuvre d’un plan de gestion des risques et un plan de recouvrement après incident.
- Budgétisation: Évaluer les solutions qui répondent aux exigences établies dans le plan de gestion des risques. Établir un budget.
- Déployer une solution de cybersécurité
En plus d’éduquer les enseignants et les administrateurs, les commissions scolaires doivent investir dans des solutions de cybersécurité approfondies. La plupart des commissions scolaires, cependant, n’ont pas le budget pour un centre d’opérations de sécurité dédié.
Une solution est les services gérés de détection et de réponse. Ces services fournissent une surveillance du réseau 24 heures sur 24 et une analyse pratique des activités suspectes. Si votre école ou votre commission scolaire a besoin d’aide or nécessite du soutien pour comprendre vos besoins, CYDEF peut vous aider. Notre Équipe des Services Professionnels peut vous aider à préparer et à planifier en cas d’une attaque.
