ANALYSES
PowerSchool : un compte de support et les données de 62 millions d'élèves
En janvier 2025, PowerSchool a averti les districts scolaires d'un vol de données portant sur des dizaines de millions d'élèves et d'enseignants, parti d'un compte de support. L'analyse : accès privilégiés du fournisseur, rançon, notifications, actions en justice et questions pour les renouvellements.
Archives : reconstitution rédigée en novembre 2026
Thème du mois de janvier 2025 · par cybercoverinsurance
En janvier 2025, PowerSchool, l'un des principaux fournisseurs de logiciels de gestion pour les écoles américaines, a averti ses districts scolaires clients d'un vol de données survenu fin décembre. L'attaquant a affirmé avoir dérobé les données de 62,4 millions d'élèves et de 9,5 millions d'enseignants dans 6 505 districts. PowerSchool a payé une rançon de 2,85 millions de dollars en bitcoin. En mai 2025, certains districts ont reçu de nouvelles demandes d'extorsion avec les mêmes données.
PowerSchool est le cas d'école d'une violation chez un fournisseur qui détient des données pour le compte de milliers de clients. Les clients n'ont pas été attaqués, mais ils sont responsables des données et doivent en gérer les conséquences. Pour qui porte le risque cyber, le cas touche trois points : l'accès du support comme porte d'entrée, une rançon qui ne met pas fin à l'extorsion et des données anciennes que personne n'avait supprimées.
Ce que l'on sait
L'accès. Selon l'enquête de CrowdStrike publiée par PowerSchool, l'attaquant a utilisé les identifiants compromis d'un utilisateur du support pour entrer dans PowerSource, le portail d'assistance client de tous les produits PowerSchool. De là, il a utilisé la fonction de maintenance à distance pour atteindre les instances du système d'information des élèves des clients. L'activité s'est déroulée du 19 au 28 décembre 2024. Les données n'ont été exfiltrées que des tables élèves et enseignants, entre le 19 et le 23 décembre. Aucun logiciel malveillant ni accès au-delà de la couche applicative n'a été trouvé (CrowdStrike pour PowerSchool).
Un accès antérieur. CrowdStrike a également trouvé une activité avec les mêmes identifiants entre le 16 août et le 17 septembre 2024. Il n'a pas pu la relier avec certitude à l'attaquant de décembre ni confirmer si des données d'élèves avaient été touchées (CrowdStrike pour PowerSchool). Depuis l'incident, l'accès à PowerSource exige un VPN, une authentification unique et une authentification multifacteur.
Données et rançon. Le 28 décembre 2024, l'attaquant a demandé 2,85 millions de dollars en bitcoin. PowerSchool a payé et reçu une vidéo montrant la prétendue suppression des données. Les données comprenaient noms, adresses, numéros de téléphone, mots de passe, informations sur les parents, numéros de sécurité sociale et données médicales. Dès début mai 2025, des districts ont reçu des demandes d'extorsion de quelqu'un se présentant comme ShinyHunters. L'État du Texas, avec plus de 880 000 résidents concernés, a poursuivi PowerSchool en septembre 2025 pour pratiques de sécurité trompeuses (BleepingComputer).
Le procès. Matthew Lane, du Massachusetts, a plaidé coupable en mai 2025. En octobre 2025, il a été condamné à quatre ans de prison et à verser près de 14,1 millions de dollars de réparation. Le parquet a chiffré les pertes de PowerSchool à plus de 14 millions de dollars, avec environ 3 millions de gains illicites non récupérés (CyberScoop). Une partie des données exposées remontait à plusieurs décennies (K-12 Dive).
Ce que l'on ne sait pas. La manière dont les identifiants du support ont été obtenus n'a pas été rendue publique. Le rapport ne dit pas si le compte disposait d'une authentification multifacteur au moment de l'incident.
L'accès du support est un accès privilégié
Un compte de support a ouvert des milliers de clients. La fonction de maintenance à distance existe pour que le fournisseur puisse aider ses clients. Mais un seul compte de support a suffi pour entrer dans les instances de milliers de districts. C'est un accès privilégié à tous égards, même si le langage commercial l'appelle « support ».
Le contrôle ajouté ensuite montre ce qui manquait avant. Après l'incident, PowerSchool a introduit pour PowerSource un VPN, une authentification unique et une authentification multifacteur, ainsi que des contrôles d'accès par plages horaires (K-12 Dive). Pour qui porte le risque, la question doit être posée au fournisseur avant le sinistre : qui, au support, peut atteindre les données des clients, d'où et avec quels contrôles.
L'accès d'août est un signal d'alarme. Les mêmes identifiants avaient été utilisés des mois plus tôt. Si un accès anormal passe inaperçu en août, le vol de décembre ne rencontre aucun obstacle. Le temps entre la première intrusion et la découverte pèse sur le coût du sinistre.
La rançon ne met pas fin à l'extorsion
Le paiement a acheté une vidéo, pas la sécurité. PowerSchool a payé 2,85 millions de dollars et reçu une vidéo de la suppression. Cinq mois plus tard, des districts ont reçu de nouvelles demandes avec les mêmes données. C'est la même leçon que Change Healthcare : une rançon ne garantit ni la suppression ni la fin des demandes.
L'extorsion se déplace vers les clients. La seconde vague a frappé les districts, pas le fournisseur. Pour les polices des clients, c'est un nouveau sinistre, né chez un tiers. La garantie extorsion des clients doit répondre à une menace fondée sur des données volées ailleurs, une situation que les conditions ne prévoient pas toujours.
La réparation ordonnée par le tribunal n'est pas un recours. Lane a été condamné à verser 14,1 millions, mais l'essentiel des gains n'a pas été retrouvé (CyberScoop). Pour l'assureur de PowerSchool, le recours subrogatoire contre l'auteur a une valeur pratique minime.
Qui paie les notifications
Les clients sont responsables des données. Les districts scolaires confient à PowerSchool les données des élèves et des enseignants, mais en restent responsables. Les obligations envers les familles, et souvent envers les autorités, leur incombent. Même lorsque le fournisseur gère les communications, le district doit vérifier, répondre aux parents et gérer le risque de réputation.
Le contrat décide qui paie. Les coûts de notification, d'assistance et de surveillance peuvent incomber au fournisseur si le contrat le prévoit. Si le contrat est muet ou plafonné bas, le coût reste au client et à sa police. Pour un organisme public aux ressources limitées, la différence est importante.
Les données anciennes augmentent le dommage sans apporter de valeur. Une partie des données exposées avait plusieurs décennies (K-12 Dive). D'anciens élèves aujourd'hui adultes, avec numéro de sécurité sociale et données médicales, sont des personnes à notifier et de possibles demandeurs. Conserver des données devenues inutiles accroît l'exposition sans bénéfice opérationnel.
Actions en justice et régulateurs
Le Texas a ouvert la voie. L'action du procureur général du Texas conteste des pratiques de sécurité trompeuses, pas seulement la violation (BleepingComputer). Pour le fournisseur, l'exposition ne concerne pas seulement les personnes touchées, mais aussi les autorités des États, avec des demandes de sanctions civiles.
Les actions collectives sont déjà là. PowerSchool fait face à plusieurs actions pour négligence et notification tardive (K-12 Dive). Pour qui porte le risque d'un fournisseur de logiciels détenant les données de millions de personnes, la responsabilité envers les tiers est le poste qui domine le sinistre.
Ce qu'il faut apporter aux renouvellements
Impact pour les assureursÉlevé
Un seul compte de support d'un fournisseur a exposé les données de dizaines de millions de personnes détenues pour le compte de milliers de clients.
Côté portefeuille, le cas PowerSchool invite à cartographier les fournisseurs verticaux qui détiennent les données de secteurs entiers : systèmes de gestion scolaire, logiciels pour cabinets médicaux, plateformes pour collectivités locales. Un seul incident chez l'un d'eux produit des sinistres de notification et de responsabilité chez des centaines ou des milliers d'assurés, souvent de petits organismes publics avec des garanties minimales.