« La curiosité est un vilain défaut… surtout quand elle vous permet de lire la fiche d’un autre enfant juste en changeant un chiffre dans l’URL ! » Voilà le genre d’astuce que les magiciens du web aimeraient garder pour eux – et qu’on préférerait ne jamais voir dans les coulisses d’un site d’inscription scolaire.
Cette semaine, le portail Ravenna Hub, le « couteau suisse » des parents pour jongler avec les inscriptions et traquer le statut des dossiers scolaires de leurs têtes blondes, s’est transformé en passoire… numérique. Grâce à une faille aussi subtile qu’un éléphant dans une salle de classe, n’importe quel utilisateur connecté pouvait accéder à toutes les infos personnelles d’autres familles. Rien que ça ! À croire que la vie privée, c’est un peu comme les vacances scolaires : ça semble durer trois jours… et puis pouf, envolée !
La collecte accidentelle de données ne faisait vraiment pas dans la dentelle : prénoms, dates de naissance, adresses, photos de gosses, détails scolaires, emails, numéros de téléphone des parents, et même les secrets de famille sur les frères et sœurs… On n’attendait plus que leurs bulletins et la marque de leur goûter préféré pour refaire leur fiche Wikipédia.
Quand la cybersécurité prend l’eau, nos infos font la planche.
Le site Ravenna Hub, géré par VenturEd Solutions, promettait pourtant de veiller sur le million d’élèves et leurs centaines de milliers de candidatures chaque année. Mais manifestement, la barrière de sécurité ressemblait plus à une porte battante qu’à un coffre-fort. La faille – connue sous le nom d’« insecure direct object reference » ou IDOR pour les initiés – permettait, à qui veut bien jouer les pirates du dimanche, de bidouiller l’adresse web pour voir la fiche d’un autre enfant… Il suffisait de modifier un simple numéro à sept chiffres – autant dire un vrai jeu de piste pour enfants (ou hackers débutants) !
Une fois TechCrunch sur l’affaire, l’équipe de VenturEd a réagi fissa, corrigé la faille sur le champ, puis – bouclez votre ceinture – a préféré faire l’autruche plutôt qu’en informer clairement ses utilisateurs. Si l’on demandait à Nick Laird, monsieur le PDG, s’il va prévenir les familles ou vérifier quels comptes ont été « visités », il se transforme soudain en champion du non-commentaire. Peut-être que la discrétion fait partie du cursus ?
On ne sait même pas trop qui est le gardien du temple cybersécurité chez VenturEd. Les audits tiers ? On en parlera quand on aura résolu les énigmes du Sphinx ou trouvé la salle des profs secrète. Ajoutons à ce tableau que le problème n’est pas un cas isolé : rien qu’en janvier, une autre plateforme scolaire américaine, UStrive, a elle aussi envoyé valser la protection des données de gamins et mentors…
Moralité : la sécurité numérique, ce n’est pas que pour les grandes écoles. Mieux vaut éviter de donner nos clés avant de vérifier la serrure. Surtout quand il s’agit des données des petits… Et si la tendance se poursuit, on va finir par écrire aux écoles sur du papier… mouillé !
Source : Techcrunch
