Les étudiants toulousains victimes d’une fuite massive de leurs données personnelles
Info Médiacités – Les données personnelles des 117 000 étudiant·s et personnels universitaires de Toulouse se sont retrouvées quelques heures en libre accès sur la toile. En cause, une erreur de sécurité imputée à la société mandatée par l’Université Fédérale Toulouse Midi-Pyrénées pour organiser le vote électronique du représentant étudiant de son conseil d’administration.
par Armelle Parion, 21 février 2020
Des étudiants dans le centre de ressources des langues de l’université Jean-Jaurès, en 2013. © CC Joson
Toulouse a beau être le berceau d’Occitanie Data, une structure créée en janvier 2019 et spécialisée dans l’économie des données, elle a encore des progrès à faire dans la cybersécurité.
L’Université fédérale Toulouse-Midi-Pyrénées (UFTMP), organe regroupant les 31 établissements d’enseignement supérieur et de recherche de Toulouse et sa région, dont les universités, les écoles d’ingénieurs comme l’INRA et les organismes de recherche comme le CNRS, a découvert avec stupeur le 14 février, que les données informatiques de ses 105 000 étudiants et 12 000 personnels avaient été piratées. Noms, prénoms, dates de naissances, mails institutionnels, établissements de rattachement, et numéros d’identification national étudiant unique (INE) se sont donc retrouvés librement sur le net et ont été téléchargées par des programmes informatiques hébergés, selon nos informations, en Europe de l’Est.
À l’origine de la faille : l’entreprise française Gedivote, filiale de Gedicom. Spécialiste du vote électronique, la société avait été mandatée par l’UFTMP pour organiser l’élection du représentant étudiant de son conseil d’administration. En vue du scrutin prévu du 31 mars au 2 avril, l’entreprise avait reçu les contacts des 117 000 étudiants et personnels.
D’après nos informations, une erreur s’est produite dans le système de protection des fichiers. Celui-ci contenait les données utiles à la vérification, via des questions personnelles, de la bonne identité du votant, avant de lui fournir de nouvelles clés d’accès pour voter s’il venait à les perdre. Ce sont ces fichiers, qui auraient été téléchargés.
L’article étant protégé par un péage, Academia vous invite à le consulter dans son intégralité, grâce à l’offre gratuite de 24h faite par Médiacités, et vous le résume.
Le choix du vol électronique visait à garantir un meilleur taux de participation au scrutin étudiant ; celui de l’entreprise sous-traitante pour les garanties qu’elle offrait. Le délégué à la protection des données personnelles de l’Institut National Universitaire découvre Champollion constate le piratage le 14 février 2020 ; le président Philippe Raimbault de la COMUE est informé à 13h08 ; à 14h, la société sous-traitance «coupe tout» pour empêcher l’accès à ces données; une déclaration de violation des données est transmise à la Commission Nationale Informatique et Libertés (CNIL) – qui mandate un expert pour suivre le scrutin. Les étudiant·es auraient été informé·es de l’incident en fin de semaine dernière par courriel.
En ces temps de répression universitaire tous azimuts, Academia ne peut qu’être bluffé par le commentaire du responsable cyber-sécurité quant à ce vol majeur de données d’étudiant·es et de personnels universitaires. « La fuite n’alarme pas outre mesure l’expert en cybersécurité Baptiste Robert.
« Le risque principal est l’usurpation d’identité. Qu’est ce qu’un attaquant peut faire avec ces infos ? Probablement, créer une fausse carte étudiante et changer le dossier d’un étudiant, remarque le Toulousain. Cela n’est pas top en termes d’image, mais ce n’est pas la fin du monde. Il y a des fuites de données tous les jours et c’est quelque chose que l’on verra de plus en plus dans les années à venir ».
Baptiste Robert est connu pour ses grandes capacités techniques : toutefois, il semble avoir une idée insuffisante de ce qu’on peut faire avec des données personnelles. Espérons — alors l’emploi de personnels dans les services informatiques devient de plus en plus difficile, faute de postes de titulaires et vu les salaires proposés dans l’enseignement supérieur et dans la recherche — que ses homologues ont, à défaut d’avoir les moyens de ne pas externaliser leurs tâches, une culture politique suffisante pour s’inquiéter réellement de la sécurité des étudiant·es et des personnels. Et ce, d’autant plus qu’à Toulouse, un usage politique de ces données vient d’être dévoilé.
Et que les scrutins universitaires cesseront désormais d’être électroniques, vu les enjeux de sécurité.
Dans une lettre recommandée réceptionnée à la rédaction, Gedivote tient à répéter « qu’à aucun moment les données des étudiantes n’ont été exfiltrées et exploitées par des tiers non autorisés ». L’entreprise affirme que « la plainte de l’université fédérale de Toulouse-Midi-Pyrénées a fait l’objet d’un classement sans suite en l’absence d’éléments pouvant donner suite à des poursuites pénales contre quiconque ». Elle assure enfin veiller « au parfait respect du cadre réglementaire et à un très haut niveau de sécurisation de ses solutions, qui sont régulièrement mises à l’épreuve dans le cadre de processus électoraux particulièrement sensibles. Ces solutions, dont le détail est présenté sur son site gedivote.fr mettent en effet en œuvre des technologies garantissant l’intégrité et la confidentialité du vote électronique ».
OpenEdition vous propose de citer ce billet de la manière suivante :
L'équipe de rédaction d'Academia (24 février 2020). Toulouse – Après le flicage, le vol de données personnelles des étudiant·es et des personnels. Academia. Consulté le 9 octobre 2026 à l’adresse https://doi.org/10.58079/aht4