Keeper Security publie des recommandations de cybersécurité pour les équipes IT de l’Éducation à l’approche de la rentrée scolaire

Chaque année, à la rentrée, écoles, collèges, lycées et universités se lancent dans une course pour intégrer des milliers de nouveaux élèves, étudiants, enseignants et personnels : création de comptes, délivrance d’identifiants et connexion d’une vague de nouveaux appareils aux réseaux des établissements. C’est un moment de chaos organisé, et les cybercriminels le savent bien. Aujourd’hui, alors que l’intelligence artificielle démultiplie la puissance des campagnes de phishing et qu’une couche invisible d’identités machines non gérées élargit discrètement la surface d’attaque, Keeper Security, le leader des solutions de sécurité des identités zero-trust et zero-knowledge et de la gestion des accès à privilèges (PAM), publie ses recommandations à destination des équipes IT du secteur de l’Éducation pour cette rentrée. Keeper y détaille les principales menaces auxquelles sont confrontés les établissements du primaire et du secondaire ainsi que les établissements d’enseignement supérieur, et les mesures que les équipes IT peuvent prendre pour protéger élèves, étudiants et personnels avant la reprise des cours.

La fenêtre d’exposition aux menaces s’élargit

L’éducation compte parmi les secteurs les plus ciblés par les ransomwares, le vol d’identifiants et les violations de données. Écoles et universités concentrent une combinaison particulièrement attractive pour les attaquants : des données à forte valeur (dossiers des élèves, informations financières, données de recherche), des services informatiques chroniquement sous-dotés et une base d’utilisateurs immense et en perpétuel renouvellement.

La période de rentrée accentue chacune de ces vulnérabilités. Création de comptes en masse, enregistrement massif d’appareils et afflux d’intégrations d’applications tierces surviennent simultanément, créant une fenêtre de mauvaise configuration et d’exposition que les attaquants sont prêts à exploiter. Or, Keeper a mené une étude qui révèle que seulement 14 % des établissements scolaires imposent une formation à la sensibilisation à la sécurité, un manque de pédagogie qui se traduit dans les faits : près d’un élève ou parent sur cinq déclare réutiliser les mêmes mots de passe entre ses comptes personnels et scolaires.

L’IA a considérablement accru la dangerosité des cybermenaces. Les e-mails de phishing peuvent désormais imiter avec précision les communications des services de vie scolaire, des services d’assistance informatique ou de la direction des établissements, sans plus présenter les signaux d’alerte qui permettaient autrefois de les repérer facilement. Les attaques par deepfake vocal et vidéo viennent prêter des visages et des voix crédibles à ces messages, rendant plus difficile, pour le personnel, de faire confiance à ce qu’il voit et entend. Selon une étude Keeper, 52 % des responsables de l’éducation considèrent l’usurpation par deepfake comme une préoccupation majeure, mais seulement 26 % se disent confiants dans leur capacité à reconnaître les menaces alimentées par l’IA. Par ailleurs, la barrière à l’entrée pour les attaquants s’est considérablement abaissée : des outils qui exigeaient autrefois une réelle expertise technique sont désormais largement accessibles, ce qui signifie que des attaques par vol d’identifiants, jusqu’ici réservées aux plus grandes institutions, peuvent désormais viser n’importe quel établissement scolaire ou campus. 41 % des établissements déclarent avoir été ciblés par des tentatives de phishing générées par IA ou des campagnes de désinformation.

La surface d’attaque invisible : les identités non humaines dans l’EdTech

Alors que les équipes IT concentrent leurs efforts sur la sécurisation des comptes humains, une population bien plus vaste et largement invisible d’identités numériques prolifère sans contrôle au sein des environnements éducatifs : les identités non humaines (Non-Human Identities, NHI). Dans une école ou une université moderne, les NHI sont omniprésentes et quasiment jamais gérées :

• Les comptes de service synchronisent les listes d’élèves ou d’étudiants et les inscriptions aux cours entre les systèmes d’information scolaires comme Pronote ou Apogée, les Espaces Numériques de Travail (ENT) des établissements, et les plateformes de gestion de l’apprentissage (LMS) comme Canvas, Blackboard ou Google Classroom. Leurs identifiants sont rarement renouvelés, souvent partagés et presque jamais audités.
• Les clés API et jetons d’intégration connectent des applications pédagogiques tierces, des manuels numériques via des dispositifs comme le GAR (Gestionnaire d’Accès aux Ressources), des bases documentaires et des passerelles de paiement aux bases de données centrales des établissements. Les jetons orphelins issus d’intégrations des années précédentes restent fréquemment actifs.
• Les identités machines et certificats numériques authentifient les connexions Wi-Fi de l’ensemble du campus, les tableaux numériques interactifs, les équipements de laboratoire, les imprimantes 3D et les caméras de sécurité. Des certificats expirés ou mal configurés créent des failles silencieuses dans la sécurité du réseau.
• Les identités et charges de travail gérées dans le cloud sur des plateformes comme Azure, AWS ou Google Cloud pilotent les sauvegardes automatisées, les pipelines de données de recherche et le reporting administratif, souvent avec des permissions bien plus larges que ne l’exigent leurs tâches — un enjeu renforcé, dans le secteur public, par les exigences de cloud de confiance et de qualification SecNumCloud portées par l’ANSSI.
• Les agents IA et robots automatisés qui font fonctionner les chatbots d’admission, les scripts d’assistance et les correcteurs automatiques possèdent chacun leur propre identité et leurs propres droits d’accès, et comptent parmi les NHI les plus nombreuses et les moins encadrées de l’éducation aujourd’hui.

Dans la plupart des établissements, les NHI sont bien plus nombreuses que les utilisateurs humains, et pourtant rares sont les établissements qui en tiennent un inventaire. La surface d’attaque s’en trouve démultipliée, chaque NHI représentant un point d’entrée potentiel pour les attaquants.

«Le débat sur la cybersécurité dans l’éducation s’est historiquement concentré sur les comptes humains : élèves, enseignants et administrateurs, déclare Darren Guccione, PDG et cofondateur de Keeper Security. Mais le véritable angle mort, c’est le vaste écosystème d’identités machines qui fait fonctionner l’EdTech moderne. La rentrée est le moment idéal, pour les équipes IT de l’éducation, de faire l’inventaire de chaque identité présente sur leur réseau, humaine comme non humaine.»

Comment les équipes IT de l’éducation peuvent réduire leur exposition au risque

Pour la plupart des établissements, les fondamentaux restent gérables : imposer l’authentification multifacteur (MFA), auditer les accès à privilèges et supprimer les identifiants obsolètes avant l’arrivée des nouveaux utilisateurs. Le défi le plus complexe consiste à construire une visibilité et une gouvernance sur les NHI qui font fonctionner l’EdTech moderne : comptes de service, jetons API, certificats machines et agents IA, qui se multiplient à chaque nouvelle intégration. Keeper recommande aux équipes IT de l’éducation de prendre les mesures suivantes avant la rentrée :

• Imposer la MFA sur l’ensemble des comptes du personnel, des enseignants et des élèves ou étudiants avant l’arrivée des nouveaux utilisateurs. Il s’agit toujours du contrôle le plus efficace contre les attaques par vol d’identifiants.
• Déployer un gestionnaire de mots de passe d’entreprise à l’échelle de l’établissement pour éliminer les mots de passe faibles, réutilisés ou partagés. S’assurer que tous les comptes à privilèges sont couverts.
• Auditer les accès à privilèges, humains comme non humains, avant la rentrée. Supprimer les accès des personnels partis, des comptes de service expirés et des applications qui ne sont plus utilisées.
• Constituer un inventaire des identités non humaines. Répertorier chaque compte de service, clé API, certificat machine, identité cloud et agent IA présent dans l’environnement. On ne peut pas sécuriser ce que l’on ne voit pas.
• Mettre en place des politiques de renouvellement des identifiants pour les identités machines, en prêtant une attention particulière aux agents IA et aux intégrations EdTech tierces ajoutées pour la nouvelle année scolaire. Automatiser ce renouvellement chaque fois que possible.
• Mettre à jour les formations de sensibilisation au phishing pour tenir compte du fait que les messages générés par IA peuvent désormais être indissociables des communications institutionnelles légitimes.

La plateforme zero-trust et zero-knowledge de Keeper est conçue précisément pour répondre à ces enjeux, en permettant aux établissements de découvrir, gouverner et renouveler automatiquement les identifiants liés aux utilisateurs humains comme aux NHI, y compris les agents IA et robots automatisés qui se multiplient dans les environnements EdTech. KeeperPAM offre également les contrôles d’accès à privilèges, l’enregistrement des sessions et les pistes d’audit dont les établissements ont besoin pour se conformer au RGPD, à la loi Informatique et Libertés, aux recommandations de la CNIL et aux préconisations de cybersécurité de l’ANSSI destinées aux établissements scolaires et universitaires, et pour garantir qu’aucune identité du réseau, humaine ou non humaine, n’échappe au contrôle.