Le 16 octobre 2026, Educational Testing Service (ETS) a commencé à notifier des élèves et familles de Californie après la copie de données scolaires depuis son site de transfert de fichiers. ETS réalise des évaluations pour le California Department of Education (CDE). Selon la notification, un tiers a utilisé un accès compromis au site SFTP entre le 22 mai et le 18 septembre.
Ce cas illustre un risque utile à comprendre pour les petites organisations : un accès chez un prestataire peut atteindre des données confiées par ses clients. Le chiffrement d’une connexion de transfert ne dispense pas de protéger le compte autorisé à l’utiliser.
Un compte de transfert utilisé pour copier des fichiers
ETS indique avoir identifié l’activité non autorisée le 25 septembre. Le compte impliqué a été désactivé et le site SFTP retiré du service. La communication du CDE décrit son remplacement par un nouveau site doté de contrôles renforcés.
La manière dont l’accès initial a été compromis n’est pas établie dans les informations publiques retenues. Il serait donc trompeur d’attribuer l’incident à du phishing, à un mot de passe réutilisé ou à une faille précise de SFTP.
Des données scolaires, pas les mots de passe des élèves
Les fichiers comprenaient des informations d’identité, des coordonnées, des identifiants scolaires et des résultats d’évaluation. Selon les personnes, des informations relatives au handicap et à la participation à des programmes pouvaient aussi figurer dans les données concernées.
ETS exclut notamment les mots de passe et les informations financières. Il faut distinguer le secret d’accès au site de transfert, utilisé par l’intrus, des données contenues dans les fichiers. La notification couvre notamment les élèves inscrits au cours des trois années scolaires précédentes, sans fournir de total chiffré des personnes touchées.
Pourquoi une fuite chez le prestataire atteint ses clients
Un établissement peut transmettre des données à ETS sans que son propre système soit compromis. Irvine Unified School District l’explicite dans son information aux familles : l’incident concerne le prestataire de l’État, pas une intrusion dans ses systèmes locaux.
L’analyse indépendante d’Ally relève aussi que plusieurs détails restent inconnus, dont le mode d’acquisition de l’accès compromis. Cette incertitude n’empêche pas de poser une question opérationnelle : quelles données un compte de transfert peut-il consulter et copier, et comment repérer un usage inhabituel ?
Pour les familles qui reçoivent une notification
Passez par le site du CDE pour consulter l’avis ETS et les modalités des deux années de protection d’identité proposées aux élèves concernés. Ne fournissez pas de nouvelles informations sur un enfant en réponse à un appel, un SMS ou un e-mail inattendu mentionnant ses évaluations.
L’avertissement d’Irvine insiste sur ces risques de sollicitation. Un message connaissant le nom de l’école ou le contexte des tests ne constitue pas, à lui seul, une preuve de légitimité. La fuite ne justifie pas d’affirmer que les mots de passe des familles ont été exposés.
Pour les organisations qui confient des fichiers
Prenez ce cas comme point de départ pour examiner vos accès de transfert avec les prestataires de paie, de formation ou de gestion. Pour chaque compte, identifiez le responsable, les répertoires accessibles et la procédure de désactivation. Ces recommandations ne décrivent pas des défauts démontrés dans les contrats d’ETS.
Prévoyez des comptes distincts, des permissions limitées et une revue des journaux de transfert. Demandez au prestataire comment une copie inhabituelle serait repérée et comment il vous aiderait à identifier les fichiers concernés. Un canal chiffré protège le transport ; il ne retire pas les droits d’un compte utilisé par un tiers.
Le lien avec Soclyde
Dans une petite équipe, les accès aux portails prestataires sont parfois transmis à plusieurs collaborateurs. Soclyde permet de les organiser dans un coffre chiffré sur les appareils et de partager les accès dans son offre Premium, plutôt que de multiplier les copies dans les messages ou documents.
Ce rôle concerne la gestion des secrets de votre organisation. Soclyde ne surveille pas les transferts ETS, ne retire pas les copies déjà réalisées et ne remplace pas les contrôles d’accès du prestataire. Les permissions doivent être ajustées dans chaque service.
À retenir
L’incident ETS distingue clairement le compte compromis des données scolaires copiées. Pour les familles, la priorité est de suivre la notification officielle ; pour les organisations, de connaître les données accessibles à chaque compte prestataire. Consultez notre guide du partage des mots de passe en équipe pour mieux organiser ces accès.
