Événement de cybersécurité PowerSchool

Le gouvernement de l’Île-du-Prince-Édouard informe les élèves, les parents, les tutrices et tuteurs, les enseignantes et enseignants et les administrations scolaires que certains de leurs renseignements personnels peuvent avoir été touchés par le récent cyberincident de PowerSchool en Amérique du Nord.

Que s’est-il passé?

Le 7 janvier 2025, PowerSchool – une plateforme tierce utilisée par de nombreux systèmes d’éducation, dont celui de l’Île-du-Prince-Édouard – a informé le gouvernement de l’Île-du-Prince-Édouard que des données personnelles de membres anciens et actuels des écoles de l’Île pourraient avoir été compromises.

Qui est touché?

À l’heure actuelle, l’enquête a permis d’identifier des élèves et des enseignantes et enseignants de l’Île-du-Prince-Édouard, anciens et actuels, parmi les personnes touchées par l’incident de cybersécurité de PowerSchool. Des données d’environ 70 000 élèves ont été consultées, les dossiers les plus anciens datant de 2003. Environ 67 % des élèves dont les données ont été consultées ne font plus partie du système scolaire. Parmi les personnes touchées, on trouve entre autres les membres anciens et actuels du personnel d’écoles, de commissions et du ministère de l’Éducation qui avaient un compte PowerSchool entre 2020 et 2024, de même que des chauffeuses et chauffeurs d’autobus. Au fur et à mesure que l’enquête se poursuit, cette liste pourrait s’étendre à d’autres membres de la communauté scolaire.

Quels renseignements personnels pourraient avoir été compromis?

Les renseignements personnels qui sont touchés comprennent les suivants :

Élèves :

• Prénom, deuxième prénom et nom
• Date de naissance
• Sexe
• Année scolaire et école
• Dates de début et de fin comme élève
• Renseignements médicaux (p. ex. allergies, troubles de santé, blessures)
• Adresses du domicile et postale
• Numéros de téléphone (domicile)
• Points clés des mesures disciplinaires (p. ex. suspensions, stratégies comportementales)
• Arrangements de garde

Personnel :

• Prénom, deuxième prénom et nom
• Numéro d’employée ou employé et titre de poste
• Écoles
• Courriels

Dans un petit nombre de cas (< 10 %), les renseignements suivants sont également touchés :

• Adresse du domicile
• Numéros de téléphone (domicile)
• Dates de transfert entre écoles, de congés prolongés et de retraite

Les numéros d’assurance sociale (NAS) et les renseignements bancaires sont-ils compromis?

Non, les autorités scolaires de l’Île-du-Prince-Édouard ne conservent aucun NAS ni renseignement financier ou bancaire dans le système d’information scolaire PowerSchool.

Quelles sont les années scolaires touchées?

Les renseignements sur pratiquement tous les élèves de la maternelle à la 12e année de la province de 2003 à 2024, de même que sur les enfants préinscrits à la maternelle pour la prochaine année scolaire, sont touchés.

Pourquoi les autorités scolaires conservent-elles les dossiers des anciens élèves?

La réglementation provinciale stipule que les dossiers des élèves doivent être conservés pendant 73 ans à compter de la date de naissance de l’élève.Ces données historiques sur les élèves sont conservées dans le système d’information scolaire PowerSchool en vue de répondre aux demandes de dossiers d’anciens élèves (relevés de notes) et de preuves d’inscription.

Mes renseignements médicaux sont-ils touchés?

Si vous avez fourni des renseignements médicaux à la Commission scolaire de langue française (CSLF) ou à la Direction des écoles publiques de langue anglaise (DEPLA) afin de documenter une allergie ou un trouble de santé, vos renseignements médicaux sont touchés par l’incident de cybersécurité de PowerSchool.

Quelles sont les prochaines étapes?

Le gouvernement provincial est en communication directe avec PowerSchool afin de mieux comprendre l’étendue de l’incident et d’identifier les personnes touchées à l’Île-du-Prince-Édouard. Toutes les personnes identifiées recevront de plus amples renseignements dans les semaines à venir, au fur et à mesure qu’ils seront accessibles.

Les renseignements publics à jour seront régulièrement publiés sur la présente page Web.

Offrira-t-on des services de surveillance du crédit et de protection d’identité aux personnes touchées?

PowerSchool a avisé le gouvernement provincial que, à compter du 20 février, elle commence l’envoi de communications aux membres touchés de la communauté scolaire sur l’accès à des services de surveillance du crédit et de protection de l’identité dans la foulée de l’incident de cybersécurité survenu en décembre 2024. Si vous avez reçu un courriel de ps-sis-incident@mail.csid.com, ps-sis-incident@mail1.csid.com ou ps-sis-incident@mail2.csid.com, il est légitime et contient des directives sur l’accès à ces services gratuits. Si vous avez des questions ou préoccupations à propos de ce courriel, téléphonez au 1-833-918-7884, de 8 h à 20 h (heure du Centre), du lundi au vendredi (sauf les principaux jours fériés américains). Vous devrez fournir le numéro d’engagement B138905. PowerSchool précise qu’elle ne communiquera jamais avec vous par téléphone ou courriel pour vous demander des renseignements personnels ou sur votre compte.

Les mêmes renseignements sont accessibles sur la page Web de l’avis de fuite de données de PowerSchool, à powerschool.com/security/sis-incident/notice-of-canada-data-breach-frc.

Que faire si je n’ai pas reçu la communication?

Si vous n’avez pas encore reçu ce courriel, vous devriez le recevoir dans les prochains jours.

Comment accéder aux services gratuits de protection de l’identité offerts par PowerSchool?

Offre : Services de protection de l’identité Experian – Accessibles à tous les élèves et employées et employés touchés

Directives d’inscription à Experian IdentityWorks

• Assurez-vous de vous inscrire d’ici le 31 juillet 2025 (votre code ne fonctionnera plus après 5 h 59 UTC à cette date)
• Pour vous inscrire, rendez-vous sur le site Web d’Experian IdentityWorks, à globalidworks.com/identity1
• Inscrivez votre code d’activation : MPRT987RFK
• Si vous avez des questions à propos du produit ou besoin d’aide pour vous inscrire, écrivez à globalidworks@experian.com

Détails sur votre adhésion à Experian IdentityWorks
Vous n’avez pas besoin de carte de crédit pour vous inscrire à Experian IdentityWorks. Vous pouvez communiquer avec Experian immédiatement en cas de fraude et vous avez accès aux fonctions suivantes comme personne inscrite à Experian IdentityWorks :

• Surveillance Internet : Un outil technologique cherche le Web, les salons de clavardage et les babillards 24 heures sur 24, sept jours sur sept, afin de repérer tout échange ou toute vente de vos renseignements personnels sur le Web invisible
• Conseils pour remédier à la fraude : Des conseils pratiques sont fournis dans votre centre des membres

Comment accéder aux services gratuits de surveillance du crédit offerts par PowerSchool?

Offre : Services de surveillance du crédit de TransUnion – Accessibles à tous les élèves et employées et employés ayant atteint l’âge de la majorité dans leur province ou territoire

Directives d’inscription à myTrueIdentity de TransUnion

• Rendez-vous à powerschool.com/security/canada-credit-monitoring (le français suit l’anglais)
• Vous y trouverez un lien vers la page de validation de l’accès, cacreditmonitoringvalidationpage-powerschool.com/?lang=fr, où on vous demande de confirmer vos renseignements en saisissant votre prénom, votre nom et votre année de naissance
• Si votre identité est confirmée, une fenêtre précisant votre code d’activation et le lien vers la page d’inscription à myTrueIdentity de TransUnion s’affiche

Détails sur votre adhésion à myTrueIdentity
Une fois le processus d’inscription en ligne terminé, vous avez accès aux fonctions suivantes de myTrueIdentity de TransUnion :

• Accès en ligne illimité à votre fiche de crédit TransUnion Canada, qui est mise à jour tous les jours. Une fiche de crédit est un aperçu de vos antécédents de crédit et l’un des principaux outils de détection des fraudes et des vols d’identité liés au crédit
• Accès en ligne illimité à votre pointage de risque CreditVisionMC, qui est mis à jour tous les jours. La cote ou le pointage de crédit est un nombre à trois chiffres calculé en fonction des renseignements figurant dans votre fiche de crédit de TransUnion Canada à un moment donné
• Surveillance du crédit, qui envoie des notifications par courriel lors de changements clés à votre fiche de crédit de TransUnion Canada. Dans notre monde virtuel, les alertes de crédit représentent un outil puissant pour vous protéger contre le vol d’identité, permettre une réaction rapide en cas d’activité de fraude potentielle et vous rassurer un peu plus
• Accès à des ressources en ligne sur la gestion du crédit, l’aide aux victimes de fraude et la prévention du vol d’identité
• Accès à des agentes et agents de rétablissement de l’identité qui peuvent répondre à vos questions sur le vol d’identité. Dans le cas improbable où vous soyez victime de fraude, une ou un spécialiste du rétablissement personnel vous aide à remédier au vol d’identité. Ce service comprend une assurance de remboursement des frais jusqu’à concurrence de 1 000 000 $
• Surveillance du Web invisible, pour surveiller des sites Web sociaux, profonds, invisibles ainsi que ceux de surface, à la recherche de renseignements personnels, financiers ou liés à l’identité possiblement exposés

Quelles mesures de protection de la vie privée a-t-on prises?

PowerSchool a pris plusieurs mesures à la suite de l’incident, dont les suivantes :

• Changement des mots de passe de tout le personnel ayant accès à la plateforme
• Augmentation de la complexité exigée pour les mots de passe du personnel de PowerSchool
• Désactivation de la capacité de PowerSchool de se connecter aux serveurs PowerSchool de l’Île-du-Prince-Édouard pour offrir du soutien
• Communication avec les services policiers
• Embauche de deux entreprises en cybersécurité pour participer à la gestion de la brèche

Quelles sont les protections offertes à la suite de cet incident?

Le gouvernement provincial est en discussion avec PowerSchool au sujet des services de surveillance du crédit et de protection de l’identité pour les personnes touchées admissibles. Les personnes admissibles recevront des informations sur la manière d’accéder à ces services lorsqu’ils seront accessibles.

L’incident de cybersécurité est-il terminé?

PowerSchool a informé le gouvernement que l’incident a été maîtrisé et que des contrôles internes renforcés pour sécuriser son système ont été mis en place, notamment en désactivant les renseignements d’identification compromis. PowerSchool a également confirmé que rien ne démontre que des activités non autorisées se poursuivent.

La plateforme est encore opérationnelle au sein du système scolaire de l’Île.

Qui a été informé de l’incident de cybersécurité de PowerSchool?

Le gouvernement provincial a publié un communiqué pour informer tous les Insulaires que l’Île-du-Prince-Édouard est touchée par l’incident de cybersécurité de PowerSchool en Amérique du Nord. D’autres avis seront envoyés au fur et à mesure que les renseignements seront disponibles.

• Le 21 février 2025
• Le 31 janvier 2025
• Le 9 janvier 2025

Les partenaires en éducation, notamment les autorités scolaires, les syndicats et la PEI Home and School Federation, ont été informés et seront également tenus au courant des derniers renseignements.

Le Commissariat à l’information et à la protection de la vie privée a été informé de cet incident le 7 janvier 2025. Le Commissariat continue à être tenu au courant de la réponse provinciale. Si vous avez des inquiétudes à ce sujet, vous pouvez communiquer avec le Commissariat par téléphone, au 902-368-4099.

Qui participe à la réponse du gouvernement provincial?

• Ministère de l’Éducation et de la Petite enfance
• Ministère des Finances
• Bureau de l’accès à l’information et de la protection de la vie privée de l’Î.-P.-É.
• Direction des écoles publiques de langue anglaise
• Commission scolaire de langue française
• PowerSchool

Avec qui puis-je communiquer pour en savoir plus?

Toute personne ayant des questions ou des inquiétudes concernant cet incident peut communiquer avec le ministère de l’Éducation et de la Petite enfance, à depteey@gov.pe.ca en attendant qu’un numéro de téléphone dédié soit établi.

Comment puis-je me protéger, ainsi que ma famille, contre l’hameçonnage et les autres menaces en ligne?

• Méfiez-vous des courriels, des messages et des appels non sollicités :
  • Les tentatives d’hameçonnage prennent souvent la forme de courriels, de textos ou d’appels prétendant provenir d’une source fiable, comme une banque ou un organisme gouvernemental.
  • Soyez attentif aux « signaux d’alerte » comme les demandes urgentes (« Votre compte a été compromis! »), les erreurs d’orthographe ou les liens suspects. Si vous attendiez le courriel, méfiez-vous quand même.
  • Vérifiez l’adresse de courriel officielle de la personne ou de l’entreprise qui a pris contact avec vous, en l’appelant ou en vous rendant sur le site Web officiel pour vérifier les coordonnées.
• Vérifiez les sources :
  • Évitez de cliquer sur des liens ou de télécharger des pièces jointes provenant de sources inconnues.
  • Au lieu de cliquer sur un lien envoyé par courriel, entrez l’adresse du site Web officiel manuellement dans le navigateur pour vérifier s’il y a des mises à jour ou des demandes de renseignements.
  • Si vous avez des doutes par rapport à une communication, communiquez directement avec l’entreprise à l’aide des coordonnées vérifiées (p. ex., le numéro de téléphone sur le site Web officiel).
• Sensibilisez les enfants à la sécurité en ligne :
  • Enseignez à vos enfants à ne pas partager de renseignements personnels (nom, adresse, mots de passe, etc.) en ligne, surtout avec des étrangers.
  • Expliquez-leur l’importance de se limiter à des sites Web et à des personnes de confiance.
• Surveillez leurs activités en ligne :
  • Utilisez des outils de contrôle parental pour suivre les activités de vos enfants en ligne et mettez des alertes en place pour les transactions ou les activités inhabituelles.
  • Surveillez les profils de réseaux sociaux de vos enfants pour vous assurer qu’ils ne partagent pas trop de renseignements personnels.
• Activez l’authentification multifacteur (AMF) :
  • Pour les comptes où c’est possible, activez l’authentification à deux facteurs pour ajouter un élément de sécurité additionnel.
• Utilisez des mots de passe robustes et uniques :
  • Encouragez vos enfants à utiliser des mots de passe complexes (au moins 12 caractères, avec un mélange de lettres, de chiffres et de symboles).
  • Évitez la réutilisation de mots de passe sur plusieurs sites.
  • Changez vos mots de passe régulièrement (p. ex., tous les 45 jours).
  • Envisagez d’utiliser un gestionnaire de mots de passe pour conserver vos mots de passe en toute sécurité.
• Surveillez vos états financiers :
  • Vérifiez régulièrement vos relevés bancaires, vos factures de cartes de crédit et vos rapports de solvabilité pour tout prélèvement ou compte non autorisé.
  • Mettez en place des alertes pour les transactions afin de détecter rapidement toute activité inhabituelle.
• Méfiez-vous des faux sites Web :
  • Recherchez les caractères « https » et un cadenas dans la barre d’adresse du navigateur lorsque vous entrez des renseignements de nature délicate (comme des détails de paiements).
  • Vérifiez le domaine du site Web de nouveau pour vous assurer qu’il est légitime (p. ex., il faut éviter les sites avec des adresses URL étranges ou mal épelées).
• Évitez les réseaux Wi-Fi publics pour les transactions de nature délicate :
  • Abstenez-vous d’effectuer des achats en ligne et d’entrer des renseignements personnels lors d’une connexion à un réseau Wi-Fi public, qui risque de ne pas être sécurisée.
• Gardez vos logiciels à jour :
  • Assurez-vous que le système d’exploitation et les applications de votre appareil sont mis à jour régulièrement afin de corriger les vulnérabilités susceptibles d’être exploitées par les pirates informatiques.
• Déchiquetez les documents de nature délicate :
  • Déchiquetez tout document physique comportant des renseignements personnels (numéros d’assurance sociale, relevés bancaires, etc.) en vue de prévenir le vol d’identité au moyen de copies papier.

Il s’agit de bonnes pratiques à appliquer en tout temps.

Pour vous renseigner davantage sur la protection de votre famille en ligne, consultez le site Web du gouvernement fédéral, www.PensezCyberSecurite.ca