Le Houston City College victime d'une campagne d'extorsion de ShinyHunters, révélant 831 642 comptes.

Ce qui s'est passé

En juin 2026, le Houston City College a été la cible du groupe de cybercriminels ShinyHunters, qui a utilisé la menace d'une fuite de données sous peine de paiement. Le groupe a exfiltré des documents internes de l'établissement et a exigé une rançon en menaçant de divulguer publiquement les données volées.

L'établissement ayant refusé de céder aux pressions de l'extorsion, ShinyHunters a publié en ligne les données exfiltrées. Cette fuite a touché aussi bien les étudiants actuels que les anciens élèves du système universitaire.

Comment cela a été révélé

L'incident a été révélé le 16 juin 2026, lorsque ShinyHunters a publiquement répertorié le Houston City College sur son site de fuites du dark web dans le cadre d'une campagne ciblant les organisations éducatives.

Les données volées ont été traitées et officiellement ajoutées au registre de notification de violation de données Have I Been Pwned le 28 juillet 2026. L'entrée cataloguée a confirmé la compromission d'enregistrements de comptes uniques liés au domaine de l'établissement, hccs.edu.

Ce qui a été révélé

La faille de sécurité a exposé 831 642 enregistrements d'utilisateurs uniques, dont environ 832 000 adresses électroniques. Les enregistrements concernés appartenaient à des étudiants actuels et à des anciens élèves.

Les données compromises comprenaient les noms complets, les adresses postales, les numéros de téléphone, les adresses électroniques, les dates de naissance, les sexes, les statuts de citoyenneté et les relevés de notes. Les mots de passe et les informations relatives aux comptes bancaires n'ont pas été signalés comme ayant été exposés dans l'ensemble de données.

Cause première

Le vecteur d'intrusion précis et la vulnérabilité du système sous-jacent qui ont facilité l'exfiltration des données du Houston City College n'ont pas été divulgués publiquement.

Que faire si vous avez été touché

Les personnes dont les données ont été compromises doivent rester vigilantes face aux courriels d'hameçonnage ciblés, aux arnaques téléphoniques et aux envois postaux frauduleux. Les cybercriminels exploitent fréquemment les noms, adresses courriel, numéros de téléphone et parcours scolaires divulgués pour mener des attaques d'ingénierie sociale convaincantes.

Étant donné que les noms complets, adresses postales, dates de naissance et statuts de citoyenneté ont été divulgués, les étudiants et anciens élèves concernés doivent surveiller leurs rapports de solvabilité et leurs comptes bancaires afin de détecter toute activité non autorisée. Le signalement d'une fraude ou le gel de leur dossier de crédit auprès des principales agences d'évaluation du crédit peut réduire le risque d'usurpation d'identité.

Les personnes concernées doivent vérifier leur statut d'exposition à l'aide de plateformes de notification de violation de données vérifiées et s'assurer que l'authentification multifacteurs est activée sur tous leurs comptes personnels.

Autres constats sourcés

Ces affirmations disposent de leurs propres sources, mais n'ont pas pu être rattachées à un passage ci-dessus.

• Le groupe de cybercriminels a exfiltré des documents internes de l'établissement et a exigé un paiement sous peine de divulguer publiquement les données volées.[1][2]
• L'institution n'ayant pas cédé à la demande d'extorsion, ShinyHunters a publié en ligne l'ensemble de données exfiltrées.[1][2]
• La fuite a touché à la fois les étudiants actuels et les anciens élèves du système collégial[1]
• Les données volées ont été traitées et officiellement ajoutées au registre de notification des violations de données « Have I Been Pwned » le 28 juillet 2026.[5][6]
• L'entrée cataloguée a confirmé la compromission des enregistrements de comptes uniques liés au domaine de l'établissement, hccs.edu.[7][8]
• Les dossiers concernés appartenaient à des étudiants actuels et à des anciens élèves.[1]
• Les données compromises comprenaient les noms complets, les adresses postales, les numéros de téléphone, les adresses électroniques, les dates de naissance, les sexes, les statuts de citoyenneté et les dossiers scolaires.[1][7][8]
• Les mots de passe et les informations relatives aux comptes financiers n'ont pas été signalés comme étant exposés dans l'ensemble de données.[7][8]
• Les acteurs malveillants exploitent fréquemment les noms, adresses électroniques, numéros de téléphone et parcours scolaires divulgués pour mener des attaques d'ingénierie sociale convaincantes.[8]