Toulouse – Après le flicage, le vol de données personnelles des étudiant·es et des personnels

Les étudiants toulousains victimes d’une fuite massive de leurs données personnelles

Info Médiacités – Les données personnelles des 117 000 étudiant·s et personnels universitaires de Toulouse se sont retrouvées quelques heures en libre accès sur la toile. En cause, une erreur de sécurité imputée à la société mandatée par l’Université Fédérale Toulouse Midi-Pyrénées pour organiser le vote électronique du représentant étudiant de son conseil d’administration.

par Armelle Parion, 21 février 2020

CRL_-_Université_Toulouse_Le_Mirail_-_2013

Des étudiants dans le centre de ressources des langues de l’université Jean-Jaurès, en 2013. © CC Joson

Toulouse a beau être le berceau d’Occitanie Data, une structure créée en janvier 2019 et spécialisée dans l’économie des données, elle a encore des progrès à faire dans la cybersécurité.

L’Université fédérale Toulouse-Midi-Pyrénées (UFTMP), organe regroupant les 31 établissements d’enseignement supérieur et de recherche de Toulouse et sa région, dont les universités, les écoles d’ingénieurs comme l’INRA et les organismes de recherche comme le CNRS, a découvert avec stupeur le 14 février, que les données informatiques de ses 105 000 étudiants et 12 000 personnels avaient été piratées. Noms, prénoms, dates de naissances, mails institutionnels, établissements de rattachement, et numéros d’identification national étudiant unique (INE) se sont donc retrouvés librement sur le net et ont été téléchargées par des programmes informatiques hébergés, selon nos informations, en Europe de l’Est.

À l’origine de la faille : l’entreprise française Gedivote, filiale de Gedicom. Spécialiste du vote électronique, la société avait été mandatée par l’UFTMP pour organiser l’élection du représentant étudiant de son conseil d’administration. En vue du scrutin prévu du 31 mars au 2 avril, l’entreprise avait reçu les contacts des 117 000 étudiants et personnels.

D’après nos informations, une erreur s’est produite dans le système de protection des fichiers. Celui-ci contenait les données utiles à la vérification, via des questions personnelles, de la bonne identité du votant, avant de lui fournir de nouvelles clés d’accès pour voter s’il venait à les perdre. Ce sont ces fichiers, qui auraient été téléchargés.

L’article étant protégé par un péage, Academia vous invite à le consulter dans son intégralité, grâce à l’offre gratuite de 24h faite par Médiacités, et vous le résume.

Le choix du vol électronique visait à garantir un meilleur taux de participation au scrutin étudiant ; celui de l’entreprise sous-traitante pour les garanties qu’elle offrait. Le délégué à la protection des données personnelles de l’Institut National Universitaire découvre  Champollion constate le piratage le 14 février 2020 ; le président Philippe Raimbault de la COMUE est informé à 13h08 ; à 14h, la société sous-traitance «coupe tout» pour empêcher l’accès à ces données; une déclaration de violation des données est transmise à la Commission Nationale Informatique et Libertés (CNIL) – qui mandate un expert pour suivre le scrutin. Les étudiant·es auraient été informé·es de l’incident en fin de semaine dernière par courriel.

En ces temps de répression universitaire tous azimuts, Academia ne peut qu’être bluffé par le commentaire du responsable cyber-sécurité quant à ce vol majeur de données d’étudiant·es et de personnels universitaires. « La fuite n’alarme pas outre mesure l’expert en cybersécurité Baptiste Robert.

« Le risque principal est l’usurpation d’identité. Qu’est ce qu’un attaquant peut faire avec ces infos ? Probablement, créer une fausse carte étudiante et changer le dossier d’un étudiant, remarque le Toulousain. Cela n’est pas top en termes d’image, mais ce n’est pas la fin du monde. Il y a des fuites de données tous les jours et c’est quelque chose que l’on verra de plus en plus dans les années à venir ».

 

Baptiste Robert est connu pour ses grandes capacités techniques : toutefois, il semble avoir une idée insuffisante de ce qu’on peut faire avec des données personnelles. Espérons — alors l’emploi de personnels dans les services informatiques devient de plus en plus difficile, faute de postes de titulaires et vu les salaires proposés dans l’enseignement supérieur et dans la recherche — que ses homologues ont, à défaut d’avoir les moyens de ne pas externaliser leurs tâches, une culture politique suffisante pour s’inquiéter réellement de la sécurité des étudiant·es et des personnels. Et ce, d’autant plus qu’à Toulouse, un usage politique de ces données vient d’être dévoilé.

Et que les scrutins universitaires cesseront désormais d’être électroniques, vu les enjeux de sécurité.


Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.

Rechercher dans OpenEdition Search

Vous allez être redirigé vers OpenEdition Search