McGraw Hill : 13,5 millions d'emails fuités via Salesforce

Ce qui s'est passé

Le groupe d'édition éducative McGraw Hill, l'un des trois principaux acteurs du manuel scolaire et universitaire aux États-Unis, a confirmé en avril 2026 avoir subi une violation de données, révélée à la suite d'une tentative d'extorsion. Selon l'entreprise, l'incident trouve son origine dans une page mal configurée hébergée sur sa plateforme Salesforce : les paramètres de visibilité laissaient accessible publiquement « un ensemble limité de données », sans qu'aucune authentification ne soit requise. L'affaire McGraw Hill Salesforce illustre un scénario devenu courant, où la compromission ne résulte pas d'une faille logicielle mais d'une erreur de configuration dans un environnement SaaS. Les données exposées concerneraient environ 13,5 millions d'adresses e-mail, un volume propice aux campagnes de phishing ciblé. L'éditeur affirme avoir corrigé la configuration dès sa découverte et engagé une revue complète de ses environnements cloud.

D'après les analyses publiées par BleepingComputer et SharkStriker, l'ensemble des fichiers diffusés ensuite sur des forums clandestins dépasse 100 Go et contient 13,5 millions d'adresses email uniques, étalées sur plusieurs jeux de données. Le contenu comprend des inscriptions à des contenus pédagogiques, des informations de contact d'enseignants et d'élèves, et des métadonnées de comptes.

L'affaire s'inscrit dans une vague récente d'incidents liés à des configurations Salesforce trop permissives, après les exfiltrations massives via Snowflake en 2024 et l'affaire Booking.com en avril 2026. McGraw Hill insiste sur le fait que ses systèmes internes n'ont pas été compromis : c'est bien le tenant SaaS qui a servi de point de fuite.

Pourquoi c'est important

13,5 millions d'adresses email d'étudiants et d'enseignants représentent une matière première de premier choix pour le phishing ciblé, l'ingénierie sociale et le bourrage d'identifiants. Au-delà du volume, l'incident illustre une vulnérabilité structurelle : dans le modèle de responsabilité partagée du SaaS, l'éditeur sécurise la plateforme, mais c'est au client de configurer correctement les permissions, sites publics et règles de partage. Une simple case mal cochée sur une expérience Salesforce Sites peut transformer une page interne en source ouverte. Pour les RSSI, l'affaire McGraw Hill rejoint une liste qui s'allonge et impose une revue régulière des objets exposés sur Salesforce, particulièrement les communautés et formulaires publics.

Ce qu'il faut retenir

• Plus de 100 Go de données et 13,5 millions d'emails se sont retrouvés en libre accès suite à une mauvaise configuration Salesforce.
• Les systèmes internes de McGraw Hill ne sont pas en cause : le risque vient bien du paramétrage côté client de la plateforme SaaS.
• Action immédiate côté DSI : auditer les Experience Cloud, Sites et permissions guest user de chaque tenant Salesforce, et activer Shield Event Monitoring sur les téléchargements anormaux.

Cette séquence n'est pas isolée. Depuis mi-2025, une vague de compromissions liées à des environnements Salesforce mal sécurisés a touché des entreprises majeures : Cisco, Adidas, Qantas, Allianz Life ou encore Google elle-même ont confirmé des fuites via des instances Salesforce détournées, souvent par le biais d'attaques de vishing ciblant des employés du support pour obtenir un accès OAuth aux données clients. Le groupe cybercriminel ShinyHunters, associé à des affiliés de Scattered Spider, revendique une grande partie de cette campagne et a publiquement menacé de divulguer les données volées si les entreprises concernées refusaient de payer une rançon — un schéma d'extorsion pure, sans chiffrement préalable, qui correspond exactement au mode opératoire observé chez McGraw Hill.

Le secteur de l'éducation constitue une cible particulièrement sensible dans ce contexte. Les bases de données scolaires et universitaires combinent des informations sur des mineurs, des données de contact d'enseignants et des identifiants de comptes pédagogiques, ce qui en fait une ressource prisée pour des campagnes de spear phishing de longue durée. Aux États-Unis, plusieurs district scolaires ont déjà été visés par des cybercriminels après des fuites similaires touchant des fournisseurs edtech, avec des tentatives d'extorsion directement adressées aux familles concernées, comme lors de l'affaire PowerSchool fin 2024, qui avait exposé les données de dizaines de millions d'élèves et de parents nord-américains. La récurrence de ce schéma renforce la pression réglementaire sur les éditeurs edtech, notamment au regard du Family Educational Rights and Privacy Act (FERPA) et des obligations de notification propres à plusieurs États américains.

Sur le plan technique, les analystes pointent un facteur aggravant commun à la plupart de ces incidents : l'usage de connecteurs tiers et d'intégrations OAuth peu surveillées au sein des organisations Salesforce, qui élargissent la surface d'attaque bien au-delà de la configuration native de la plateforme. Salesforce a publié à plusieurs reprises des recommandations de durcissement — restriction des plages IP autorisées, révision périodique des applications connectées, activation du MFA pour les comptes à privilèges élevés — mais l'adoption reste hétérogène chez les clients, en particulier dans les grandes structures où la gouvernance des accès SaaS est fragmentée entre plusieurs équipes métier.

Pour McGraw Hill, l'enjeu dépasse la seule notification réglementaire. L'entreprise devra démontrer, potentiellement devant des autorités de protection des données et dans le cadre d'actions collectives déjà anticipées par plusieurs cabinets d'avocats américains, que ses processus de configuration et de revue des accès SaaS répondaient à un niveau de diligence raisonnable. Le précédent de l'affaire Snowflake de 2024, qui avait donné lieu à plus de 165 notifications d'entreprises clientes et à des poursuites judiciaires prolongées, illustre l'ampleur des conséquences juridiques et financières que peut engendrer une simple erreur de configuration côté client dans un environnement SaaS partagé.