Keeper Security, spécialiste des solutions de sécurité des identités zero-trust et zero-knowledge et de la gestion des accès à privilèges (PAM), publie ses recommandations à destination des équipes IT du secteur de l’Éducation pour la rentrée. Chaque année, écoles, collèges, lycées et universités doivent intégrer en quelques semaines des milliers de nouveaux élèves, étudiants, enseignants et personnels : création de comptes, délivrance d’identifiants, connexion d’une vague de nouveaux appareils aux réseaux des établissements. Un moment de « chaos organisé » que les cybercriminels connaîtraient bien.
Un secteur particulièrement exposé
Selon Keeper Security, l’éducation compte parmi les secteurs les plus ciblés par les ransomwares, le vol d’identifiants et les violations de données : écoles et universités concentreraient des données à forte valeur (dossiers des élèves, informations financières, données de recherche), des services informatiques chroniquement sous-dotés et une base d’utilisateurs immense et en perpétuel renouvellement. L’entreprise cite un chiffre : près d’un élève ou parent sur cinq déclare réutiliser les mêmes mots de passe entre ses comptes personnels et scolaires.
Phishing et deepfakes dopés à l’IA
Les e-mails de phishing pourraient désormais imiter avec précision les communications des services de vie scolaire, des services d’assistance informatique ou de la direction des établissements, sans plus présenter les signaux d’alerte qui permettaient autrefois de les repérer facilement. Les attaques par deepfake vocal et vidéo viendraient prêter des visages et des voix crédibles à ces messages, rendant plus difficile pour le personnel de faire confiance à ce qu’il voit et entend.
Selon une étude Keeper, 52 % des responsables de l’éducation considèrent l’usurpation par deepfake comme une préoccupation majeure, mais seulement 26 % se disent confiants dans leur capacité à reconnaître les menaces alimentées par l’IA.
Des identités machines qui échappent à tout contrôle
Pendant que les équipes IT concentrent leurs efforts sur la sécurisation des comptes humains, Keeper Security pointe une population bien plus vaste et largement invisible d’identités numériques qui prolifère sans contrôle dans les environnements éducatifs : les identités non humaines (Non-Human Identities, NHI). Comptes de service synchronisant listes d’élèves et inscriptions entre systèmes d’information scolaires (Pronote, Apogée), ENT et plateformes de gestion de l’apprentissage (Canvas, Blackboard, Google Classroom) ; clés API et jetons connectant des applications pédagogiques tierces ou des manuels numériques via le GAR ; identités cloud pilotant sauvegardes et pipelines de données de recherche sur Azure, AWS ou Google Cloud ; agents IA faisant fonctionner chatbots d’admission et correcteurs automatiques : autant de NHI qui, selon Keeper, seraient plus nombreuses que les utilisateurs humains dans la plupart des établissements, sans qu’aucun inventaire n’en soit généralement tenu.
Les recommandations de Keeper Security pour la rentrée
Pour la plupart des établissements, les fondamentaux resteraient gérables : imposer l’authentification multifacteur (MFA) sur l’ensemble des comptes du personnel, des enseignants et des élèves ou étudiants avant l’arrivée des nouveaux utilisateurs ; auditer les accès à privilèges ; supprimer les identifiants obsolètes ; et déployer un gestionnaire de mots de passe d’entreprise à l’échelle de l’établissement. Le défi le plus complexe consisterait à construire une visibilité et une gouvernance sur les NHI qui font fonctionner l’EdTech moderne, ces identités se multipliant à chaque nouvelle intégration.