Des enfants âgés d'à peine sept ans impliqués dans des cyberattaques contre des établissements scolaires, plus de la moitié des attaques étant perpétrées par des élèves

Des enfants âgés d'à peine sept ans impliqués dans des cyberattaques contre des établissements scolaires, plus de la moitié des attaques contre le secteur de l'éducation étant perpétrées par des élèves

Selon l'Information Commissioner's Office, l'autorité britannique indépendante chargée de la protection des données et des droits à l'information, plus de la moitié des cyberattaques et des violations de données dans les écoles et les universités au cours des trois dernières années ont été perpétrées par des élèves. Dans un cas, un enfant de sept ans a été orienté vers le programme Cyber Choices de la National Crime Agency après avoir commis une infraction. Un autre incident a impliqué trois élèves de 11e année qui ont utilisé des outils trouvés sur Internet pour pirater des mots de passe et accéder aux dossiers de plus de 1 400 élèves.

Selon l'Information Commissioner's Office (ICO), l'autorité britannique indépendante chargée de la protection des données et des droits à l'information, plus de la moitié des cyberattaques et des violations de données dans les écoles et les universités au cours des trois dernières années ont été perpétrées par des élèves. Sur les 215 piratages et violations dans des établissements scolaires enquêtés par l'ICO au cours de cette période, 57 % ont été perpétrés par des élèves. Près d'un tiers des infractions impliquaient des élèves devinant des mots de passe ou volant les identifiants des enseignants afin d'accéder aux systèmes du personnel.

L'organisme de surveillance affirme que les enfants piratent les systèmes et accèdent à des données privées pour s'amuser ou relever des défis, qualifiant cette tendance de « préoccupante ». « Ce qui commence comme un défi, un jeu, un divertissement dans un contexte scolaire peut finalement conduire les enfants à participer à des attaques préjudiciables contre des organisations ou des infrastructures critiques », a déclaré Heather Toomey, cyber-spécialiste principale à l'ICO.

Dans un cas, un enfant de sept ans a été orienté vers le programme Cyber Choices de la National Crime Agency après avoir commis une infraction. Un autre incident a impliqué trois élèves de 11e année qui ont utilisé des outils trouvés sur Internet pour pirater des mots de passe et accéder aux dossiers de plus de 1 400 élèves. L'ICO a également cité le cas d'un élève qui s'est connecté à la base de données d'un collège en utilisant les identifiants d'un enseignant. Il a accédé aux dossiers de plus de 9 000 membres du personnel, élèves et candidats, y compris leurs adresses, leurs données médicales et leurs journaux de sécurité.

La dernière enquête du gouvernement sur les violations de la cybersécurité a révélé que 44 % des écoles ont signalé une attaque ou une violation au cours de l'année dernière. L'avertissement de l'ICO fait suite à une série de cyberattaques très médiatisées contre des entreprises telles que M&S et Jaguar Land Rover, dans lesquelles des pirates informatiques adolescents ont été impliqués.


Heather Toomey, cyber-spécialiste principale, a déclaré : « Alors que les établissements d'enseignement sont victimes d'un grand nombre de cyberattaques, il apparaît de plus en plus clairement que la « menace interne » est mal comprise, largement ignorée et peut entraîner des risques futurs de préjudice et de criminalité. Ce qui commence par un défi, un pari, un peu d'amusement dans un cadre scolaire peut finalement conduire les enfants à participer à des attaques préjudiciables contre des organisations ou des infrastructures critiques. Il est important que nous comprenions les intérêts et les motivations de la prochaine génération dans le monde en ligne afin de garantir que les enfants restent dans la légalité et progressent vers des carrières gratifiantes dans un secteur qui a constamment besoin de spécialistes. »

Une analyse plus approfondie des 215 rapports d'attaques internes dans le secteur de l'éducation a révélé que :

• 23 % des incidents étaient dus à de mauvaises pratiques en matière de protection des données, notamment : 
  
  
  • L'accès ou l'utilisation de données par le personnel sans besoin légitime
  • Les appareils laissés sans surveillance
  • L'autorisation donnée aux élèves d'utiliser les appareils du personnel
  
  
• 20 % des incidents étaient dus à l'envoi de données vers des appareils personnels par le personnel. 
• 17 % des incidents ont été causés par une configuration incorrecte ou des droits d'accès inappropriés à des systèmes tels que SharePoint. 
• 5 % des incidents ont été identifiés comme étant le fait d'initiés utilisant des techniques sophistiquées pour contourner les contrôles de sécurité et les contrôles réseau.

L'impact et la gravité d'une attaque interne peuvent être considérables. L'ICO appelle les écoles à faire partie de la solution en prenant des mesures pour améliorer leurs pratiques en matière de cybersécurité et de protection des données et en éliminant toute tentation pour les élèves. Les écoles devraient régulièrement actualiser leur formation au RGPD afin d'améliorer les normes et de sensibiliser à la nécessité de protéger l'accès aux systèmes scolaires. Enfin, l'ICO conseille aux parents de discuter régulièrement avec leurs enfants de ce qu'ils font en ligne et à échanger avec eux sur les choix qu'ils font. L'ICO rappelle que ce qui peut être perçu comme un simple divertissement par un jeune esprit peut se transformer en une activité illégale et préjudiciable aux conséquences graves.

Source : Information Commissioner's Office (ICO), l'autorité indépendante britannique chargée de la protection des données

Et vous ?

Pensez-vous que ce rapport est crédible ou pertinent ?
Quel est votre avis sur le sujet ?

Voir aussi :

Des enfants de neuf ans lancent des attaques DDoS contre des écoles au Royaume-Uni, mais les autorités tentent de les dissuader de faire carrière dans la cybercriminalité

93 % des universités françaises les plus réputées exposent leurs étudiants, collaborateurs et partenaires au risque de fraude par email, selon une étude de Proofpoint

Voir Tor, Kali Linux ou une VM sur le PC d'un enfant serait le signe qu'il est un pirate informatique, d'après des autorités, qui demandent à être prévenues pour donner de meilleures orientations