Une violation de données frappe un fournisseur d'éducation préscolaire à faible revenu basé à San Diego

Educational Enrichment Systems Data Breach

Educational Enrichment Systems, Inc. (EES) ne ressemble pas à la proie la plus attrayante pour les cybercriminels. Au cours des quatre dernières décennies, EES a développé et offert des programmes éducatifs aux enfants qui grandissent dans des familles à faible revenu. C'est une organisation à but non lucratif qui travaille principalement avec les tout-petits et les enfants d'âge préscolaire, ce qui est loin des sociétés sans visage et des institutions financières que vous attendez normalement de voir se faire frapper. Malgré cela, les cybercriminels ont décidé d'attaquer EES, et les résultats auraient pu être assez dévastateurs.

Les pirates ont compromis le courrier électronique d'un employé d'EES

La semaine dernière, EES a mis à jour son site Web et a inclus un lien vers un avis de violation de données, qui explique exactement ce qui s'est passé. Selon elle, en août 2019, l'équipe informatique d'EES a remarqué une activité inhabituelle autour du compte de messagerie d'un employé. L'enquête qui a suivi a révélé que le compromis initial a eu lieu le 27 mai 2019 et que les pirates ont conservé un accès non autorisé à la boîte de réception pendant le mois et demi suivant.

Le libellé suggère que les experts informatiques d'EES savent très bien ce qui s'est passé, mais la notification elle-même ne fournit pas beaucoup de détails. Il ne dit pas, par exemple, comment les pirates ont réussi à pénétrer dans la boîte de réception des employés d'EES. Nous ne pouvons que deviner si cela s'est produit en raison d'un mot de passe faible, d'une attaque de phishing ou d'une vulnérabilité des systèmes de messagerie d'EES. Nous ne savons toujours pas pourquoi les pirates ont déménagé à la mi-juillet, pourquoi EES n'a été informé de l'attaque qu'à la fin août et pourquoi le grand public en est informé maintenant, plus de cinq mois après la découverte de la brèche.

"Aucune preuve" d'une mauvaise utilisation des données, mais cela vaut la peine d'être prudent

Ce que l'avis de violation nous a dit, c'est quel type de données était potentiellement mis en danger. En fin de compte, le compte de messagerie compromis contenait beaucoup d'informations sensibles, y compris les noms, adresses e-mail et physiques, numéros de sécurité sociale, données financières et d'assurance maladie, dossiers éducatifs et antécédents médicaux.

Le prestataire de services éducatifs a toutefois souligné que l'enquête n'a révélé "aucune preuve" de l'accès ou de l'utilisation abusive des données. Cela dit, le danger potentiel d'avoir ces détails exposés est si énorme que prendre des risques n'est pas une très bonne idée.

C'est pourquoi, EES est en train d'informer chaque individu concerné, et l'avis de violation de données comprend une liste assez étendue de précautions que les gens peuvent prendre afin de minimiser les risques de vol d'identité.

Étant donné que la portée réelle de la violation reste inconnue, quiconque a travaillé avec EES dans le passé devrait jeter un coup d'œil à ces étapes et réfléchir à ce qu'il peut faire pour se protéger. Pour le reste d'entre nous, cet incident devrait servir de rappel supplémentaire que même les organisations qui font un travail admirable et aident les communautés peuvent être ciblées par des cybercriminels. Comme vous pouvez le voir, les employés et les bénévoles travaillant pour ces organisations sont souvent les premiers à être compromis, et il est particulièrement important qu'ils connaissent les risques.

February 11, 2020

Laisser une Réponse