Pourquoi l’IA devient la nouvelle défense de l’enseignement supérieur face au champ de bataille de l’accès utilisateur et des identifiants

Les cybercriminels ont progressé vers le haut du marché, et l’enseignement supérieur est désormais directement dans leur ligne de mire.

Pendant des années, les districts K‑12 ont absorbé le pire. Lorsque la pandémie a imposé l’apprentissage à distance du jour au lendemain, les systèmes scolaires qui n’y étaient jamais préparés se sont retrouvés exposés. L’enseignement supérieur semblait relativement sûr: les campus disposaient déjà de services informatiques matures, d’un budget pour les outils de sécurité et exploitaient des systèmes numériques et l’apprentissage en ligne depuis une décennie ou plus avant l’arrivée de la COVID. Cet écart se referme rapidement. Les cibles faciles du niveau K‑12 ont largement été exploitées, et les attaquants se tournent désormais vers les collèges et universités avec les mêmes outils pilotés par l’IA qui ont fait du K‑12 une cible si aisée.

L’ampleur apparaît déjà dans les gros titres. Ce mois-ci seulement, des informations personnelles ont été volées dans au moins 137 000 comptes du personnel scolaire lors d’une violation qui a touché le Glendale Community College, le Moody Bible Institute, l’Illinois Central College et le Houston City College. Les pare-feu et les outils de périmètre restent importants, mais ils n’ont jamais été conçus pour stopper ce qui se passe aujourd’hui: une IA qui permet aux attaquants d’usurper l’identité du personnel et des étudiants à grande échelle, suffisamment bien pour contourner les contrôles sur lesquels les établissements se sont appuyés pendant des années. Le vol d’identifiants et la prise de contrôle de comptes ne sont plus des cas isolés. Ils constituent la surface d’attaque principale, et la défense contre celle‑ci est devenue le principal défi de cybersécurité dans l’enseignement supérieur pour 2026.

L’autre côté du problème: les étudiants fantômes

Les identifiants volés du personnel attirent la plupart de l’attention, mais ils ne représentent que la moitié de l’histoire. L’autre moitié se déroule du côté des étudiants, et il s’agit sans doute du problème le plus coûteux: la fraude aux étudiants fantômes.

Le mécanisme est simple. Les acteurs malveillants utilisent des identités factices ou volées pour s’inscrire en tant qu’étudiants, non pas pour suivre les cours, mais pour percevoir des aides financières. Les demandes générées par l’IA sont désormais suffisamment convaincantes pour contourner la vérification d’identité que la plupart des établissements utilisent encore, ce qui signifie que cette fraude se développe de la même manière que le vol d’identifiants: automatiquement et rapidement.

Les chiffres deviennent difficiles à ignorer. On estime que $150 millions d’aides ont été versés à des étudiants non éligibles rien qu’en 2025, les collèges communautaires étant les plus touchés car ils disposent généralement de l’infrastructure d’identité la moins robuste. Le Delaware County Community College a découvert plus de 500 comptes étudiants fictifs en interne. Au niveau national, le gouvernement fédéral enquête sur plus de $350 millions de fraudes aux étudiants fantômes, répartis sur 200 dossiers ouverts.

Le coût n’est pas abstrait, et il ne se limite pas aux établissements eux‑mêmes. Lorsqu’un escroc s’inscrit sous une identité volée et perçoit un prêt, la vraie personne derrière cette identité se retrouve souvent à porter la dette. Les étudiants légitimes se retrouvent à se battre pour des fonds d’aide financière et des ressources institutionnelles qui diminuent, déjà siphonnés par la fraude. Comme le révèle une récente enquête d’ABC News, les collèges communautaires du sud de la Californie sont submergés de demandes générées par l’IA, et le phénomène apparaît à l’échelle nationale, pas seulement dans une région.

Le vol d’identifiants et la fraude aux étudiants fantômes semblent être des problèmes différents, mais ils partagent la même cause profonde: des contrôles d’identité qui ne se font qu’une seule fois, au moment de la connexion ou de l’inscription, et qui ne sont jamais revus.

L’identité n’est pas un événement: c’est un cycle de vie

C’est le changement que l’enseignement supérieur doit opérer en 2026. La question ne peut plus se limiter à « cette personne s’est‑elle authentifiée avec succès ? ». Elle doit être continue: qui a accès actuellement, et doit‑il encore en disposer.

Cette question est devenue plus difficile à répondre parce que la population des « identités » sur les campus s’est largement étendue au-delà des étudiants et du personnel. Les universités sont désormais responsables de la sécurisation d’agents IA autonomes, d’intégrations tierces et d’identités de machines qui touchent quotidiennement des systèmes sensibles, souvent avec beaucoup moins de surveillance qu’un compte humain ne bénéficierait. Chacune de ces identités constitue un point d’entrée potentiel, et la plupart des établissements ne disposent pas d’un moyen en temps réel pour les suivre.

C’est précisément là que la gestion du cycle de vie des identités (Identity Lifecycle Management) trouve sa place en tant que priorité, et non comme un simple « nice‑to‑have ». L’authentification statique, ponctuelle, a été conçue pour un monde où « identité » signifiait une personne se connectant avec un mot de passe. Elle n’a jamais été prévue pour un univers avec IA agente, intégrations machine‑à‑machine et réseaux de fraude capables de générer en quelques secondes un étudiant factice convaincant. Combler cet écart implique d’associer des clés d’accès résistantes au phishing et une gouvernance IA agente à une approche ILM qui examine et met à jour continuellement les accès, plutôt que de les accorder une fois et de supposer qu’ils restent valables un semestre plus tard.

L’enseignement supérieur ne peut pas rester les bras croisés en attendant que les enquêtes fédérales rattrapent le retard. Les établissements qui prendront les devants seront ceux qui cesseront de considérer l’identité comme une case à cocher lors de la connexion et commenceront à la traiter comme un élément qui doit être vérifié, surveillé et ajusté en continu, pour chaque humain et chaque machine qui interagissent avec leurs systèmes.

Les attaquants ont déjà automatisé leur part de ce processus. Il est temps que l’enseignement supérieur fasse de même.