Une connexion volée a permis de copier pendant quatre mois des dossiers d’examens d’élèves californiens

Le vendredi 16 octobre 2026, le département de l’Éducation de la Californie (CDE) a informé les familles que des dossiers d’élèves avaient été volés chez Educational Testing Service (ETS), l’organisme sans but lucratif qui administre les examens normalisés de l’État, dont les examens Smarter Balanced (CAASPP) et les tests de compétence en anglais (ELPAC). L’avis officiel (en anglais) indique qu’une personne a utilisé une connexion compromise pour copier des fichiers d’un site de transfert de fichiers d’ETS « à divers moments » entre le 22 mai et le 18 septembre 2026. ETS a repéré l’activité le 25 septembre. Si ni vous ni vos enfants n’avez fréquenté une école publique de Californie, vous n’êtes pas concernés. Sinon, voici ce qui a été pris et ce qui vaut la peine d’être fait.

Ce qui a été copié

Selon l’avis, les fichiers volés couvrent au minimum tous les élèves inscrits dans une école publique de Californie au cours des trois dernières années scolaires. Les détails varient d’un élève à l’autre, mais peuvent comprendre :

• nom, date de naissance, adresse, école, district et année scolaire
• l’identifiant d’élève de l’État et l’identifiant local
• genre, race ou origine ethnique, langue principale, pays d’origine et statut d’apprenant de l’anglais
• statut de handicap et Section 504, mesures d’adaptation aux examens et type de handicap principal
• l’admissibilité à des programmes fédéraux, dont Title I, McKinney-Vento (pour les élèves en situation d’itinérance) et le programme pour les élèves de familles de militaires
• inscriptions, participation et résultats aux examens

ETS affirme que les fichiers ne contenaient ni numéros de sécurité sociale, ni numéros de permis de conduire ou de passeport, ni données financières ou de carte, ni mots de passe, et aucun renseignement sur les parents ou tuteurs.

Combien d’élèves

L’avis ne donne pas de total. Le Los Angeles Times rapporte que la fuite va bien au-delà des 5,7 millions d’élèves actuels des écoles publiques de l’État, parce qu’elle remonte aux inscriptions de 2023, et jusqu’en 2006 pour les élèves qui ont quitté la Californie sans transfert confirmé vers une autre école. Politico a rapporté que le CDE l’évaluait aux 7 millions d’élèves inscrits au cours des trois dernières années scolaires. Les directions de district ont été prévenues le 2 octobre, deux semaines avant l’avis public, selon le Times.

ETS dit avoir désactivé le compte, mis le site hors ligne et en avoir construit un nouveau, et sa surveillance du Web n’a pas trouvé les données publiées. L’avis ne dit pas si quelqu’un a exigé une rançon, et le Times note que le communiqué n’en parlait pas. Le centre de cybersécurité de l’État (Cal-CSIC) participe à l’enquête, et le CDE dit examiner si ETS a respecté ses obligations en matière de sécurité des données.

Pourquoi c’est important

Il s’agit surtout de données sur des enfants, et une bonne partie ne peut pas être changée. Le nom, la date de naissance et l’adresse d’un enfant peuvent servir à ouvrir du crédit à son nom, et cela peut passer inaperçu longtemps, parce que peu de gens vérifient le dossier de crédit d’un enfant. Les données sur les handicaps et les programmes sont le genre de détail qu’un fraudeur peut utiliser pour se faire passer pour une école ou un organisme d’aide. Et tout a été pris avec une seule connexion compromise, par intermittence pendant quatre mois, avant que quiconque s’en aperçoive.

Si votre famille est touchée

1. Inscrivez-vous à la protection d’identité gratuite depuis la page officielle. ETS offre deux ans d’Experian IdentityWorks, avec un forfait pour les élèves de moins de 18 ans et un pour les adultes. Les codes d’activation et la date limite d’inscription (19 mars 2027) figurent dans l’avis du CDE. Ouvrez-le en tapant l’adresse, pas à partir d’un lien dans un courriel ou un texto. L’avis lui-même met en garde contre les faux sites de protection d’identité.
2. Gelez le crédit de votre enfant. Aux États-Unis, le gel du crédit est gratuit, y compris pour les enfants de moins de 16 ans, et les autorités suggèrent aux parents d’y penser. Il faut le demander séparément à Equifax, Experian et TransUnion.
3. Méfiez-vous des messages qui parlent de l’école, des examens ou de cette fuite. Cela comprend les appels de gens qui disent représenter ETS, l’État ou une entreprise de surveillance du crédit. Les autorités recommandent de ne jamais donner de numéro de sécurité sociale, de mot de passe ou de renseignements financiers en réponse à une demande non sollicitée.
4. Pour vos questions, appelez le centre d’appels d’ETS au 833-931-8488, en semaine de 6 h à 18 h, heure du Pacifique. Utilisez le numéro de dossier B174774 pour les élèves de moins de 18 ans et B174775 pour ceux de 18 ans et plus.

Sources

• Département de l’Éducation de la Californie, « Educational Testing Service (ETS) Notification » (en anglais), 16 octobre 2026
• Los Angeles Times, « Hackers steal personal data of millions of California students in massive breach » (en anglais), 16 octobre 2026
• Politico, « Hack exposes data on millions of California students » (en anglais), 16 octobre 2026