أبلغت وزارة التعليم في كاليفورنيا (CDE) الطلاب والعائلات بوقوع خرق للبيانات لدى أحد متعهديها، وهي خدمة الاختبارات التعليمية (ETS). إن خرق البيانات الطلابية في كاليفورنيا لدى ETS هو تذكير بأن خصوصية السجلات المدرسية تعتمد على كل شركة تتعامل معها، وليس على المدارس وحدها.
توزّع وزارة التعليم في كاليفورنيا إشعار ETS بخرق البيانات للمساعدة في ضمان حصول المتضررين على معلومات حول الحادث والدعم المتاح لهم. إليك ما تم الإبلاغ عنه حتى الآن، وما يمكن للعائلات فعله حيال ذلك.
ما الذي حدث في خدمة الاختبارات التعليمية
وفقًا للتقارير عن الحادث، استخدم طرف غير مصرح له بيانات تسجيل دخول مخترقة للوصول إلى موقع نقل ملفات تديره ETS، وهي المنظمة غير الربحية التي تدير الاختبارات للولاية. تشير التغطية إلى أن المتسلل نسخ سجلات الطلاب بين 22 مايو و18 سبتمبر. هذه فترة تبلغ نحو أربعة أشهر يبدو أن بيانات اعتماد مسروقة واحدة ظلت صالحة للاستخدام خلالها.
هذه التفصيلة مهمة. فلم يُوصف الحادث بأنه اختراق متطور لأنظمة الولاية نفسها. بل تضمّن عملية تسجيل دخول وموقع نقل ملفات يُستخدم لنقل بيانات الاختبارات بين المؤسسات. وبيانات الاعتماد المسروقة أو المعاد استخدامها أو المتروكة دون حماية قوية هي من أكثر الطرق شيوعًا التي يدخل بها المهاجمون إلى الأنظمة، ويمكن أن يمر الوصول طويل الأمد دون أن يُلاحظ في غياب مراقبة دقيقة.
ذكر أحد المعلقين الأمنيين الذي استُشهد به في التغطية أن عدد سجلات الطلاب المخترقة يبلغ سبعة ملايين، ووصف المخاطر التجارية ومخاطر المسؤولية الجسيمة التي يخلقها هذا الخرق للمؤسسات التي تحتفظ ببيانات الطلاب. وقد تُراجَع الأرقام الدقيقة مع استمرار التحقيق، لذا تعامل مع الأرقام الأولية على أنها مبدئية.
ما هي البيانات الطلابية التي تعرضت للكشف ومن المعرض للخطر
تقول التقارير إن المعلومات المسروقة تشمل أسماء طلاب كاليفورنيا وتواريخ ميلادهم وحالة الإعاقة ونتائج الاختبارات. ولكل من هذه العناصر مخاطر مختلفة:
- الأسماء وتواريخ الميلاد هي لبنات أساسية لسرقة الهوية ومحاولات انتحال الشخصية المقنعة.
- حالة الإعاقة حساسة للغاية. فخلافًا لكلمة المرور، لا يمكن تغييرها، وقد يتجاوز ضرر الكشف عنها الاحتيال المالي بكثير.
- نتائج الاختبارات هي سجلات تعليمية تتوقع العائلات بشكل معقول أن تبقى خاصة.
الأشخاص الأكثر تضررًا هم طلاب كاليفورنيا الذين مرّت بيانات اختباراتهم عبر موقع نقل الملفات الخاص بـ ETS، وقد يشمل ذلك الطلاب الحاليين وربما الطلاب السابقين اعتمادًا على مدة الاحتفاظ بالسجلات. والشباب هدف جذاب بشكل خاص لصوص الهوية لأنهم غالبًا لا يملكون سجلًا ائتمانيًا، لذا قد يمر سوء الاستخدام دون اكتشاف لسنوات.
إذا تلقيت إشعارًا من وزارة التعليم في كاليفورنيا أو من ETS، فخذه على محمل الجد واقرأه بعناية. فالإشعار هو المصدر الأكثر موثوقية لما ينطبق عليك والخدمات التي تُقدَّم.
لماذا يُعد متعهدو التعليم حلقة ضعيفة
نادرًا ما تدير المدارس والوكالات الحكومية كل الأنظمة بنفسها. فكثيرًا ما يتم الاستعانة بمصادر خارجية للاختبارات ومنصات التعلم ومعالجة البيانات، ما يعني أن معلومات الطلاب تُنسخ إلى أنظمة تديرها مؤسسات أخرى. وكل عملية تسليم تخلق مكانًا آخر يمكن أن تنكشف فيه البيانات، ولا يكون للعائلات عادة رأي في المتعاقدين المستخدمين.
هذا الخرق يتماشى مع نمط متكرر. لقد غطّينا كيف أن خرقًا ثانيًا لبيانات Canvas عطّل الامتحانات في جامعة ولاية بنسلفانيا وخارجها، وهي حالة أخرى أصبح فيها مزوّد تقني يخدم العديد من المؤسسات نقطة الفشل. فعندما يخدم متعاقد واحد ملايين الطلاب، يمكن أن تؤثر نقطة ضعف واحدة عليهم جميعًا في آن واحد.
ثمة ثلاثة أسئلة يجدر طرحها على أي متعاقد في مجال التعليم:
- كم مدة الاحتفاظ بالبيانات؟ ينبغي حذف السجلات التي لم تعد هناك حاجة إليها. فالملفات القديمة المتروكة على موقع نقل تشكل عبئًا من المخاطر.
- كيف يُحمى الوصول؟ لا ينبغي أن تكفي بيانات تسجيل دخول مسروقة واحدة للوصول إلى ملايين السجلات.
- ما مدى سرعة اكتشاف الحالات الشاذة؟ إن استمرار الوصول لأشهر يشير إلى ثغرات في المراقبة تستحق الفحص.
ماذا يعني هذا بالنسبة لك
إذا كنت أحد الوالدين أو وصيًا أو طالبًا في كاليفورنيا، فلا داعي للهلع، لكن ينبغي أن تتحرك. فالمعلومات التي يُقال إنها متورطة هي معلومات شخصية ثابتة، لذا يمكن أن يستمر الخطر طويلًا بعد أن تتحرك دورة الأخبار.
لا يحمي VPN من هذا النوع من الخروق، لأن البيانات أُخذت من خادم متعاقد وليس من اتصالك. والدفاعات الأكثر فائدة هي المذكورة أدناه.
- جمّد الائتمان. تجميد الائتمان مجاني ويمنع معظم محاولات فتح حسابات جديدة باسم الطالب. ويمكن للوالدين عمومًا طلب التجميد للقُصّر؛ راجع إجراءات مكاتب الائتمان لهذه العملية.
- احترس من التصيد الاحتيالي. يستطيع المهاجمون الذين يعرفون اسم الطالب وتاريخ ميلاده وسياق مدرسته كتابة رسائل مقنعة للغاية. كن متشككًا في رسائل البريد الإلكتروني أو النصوص غير المتوقعة بشأن الاختبارات أو المنح الدراسية أو الخرق نفسه، واذهب مباشرة إلى المواقع الرسمية بدلًا من النقر على الروابط.
- استفد من الدعم المقدَّم. إذا تضمّن الإشعار مراقبة أو مساعدة، فاشترك فورًا واحتفظ بنسخة من الإشعار.
- أمّن الحسابات. استخدم كلمات مرور فريدة ومصادقة متعددة العوامل على البريد الإلكتروني وحسابات المدرسة، لأن البريد الإلكتروني غالبًا هو مفتاح إعادة تعيين كل شيء آخر.
- احتفظ بالسجلات. دوّن التواريخ والإشعارات وأي نشاط مريب في حال احتجت إلى الطعن في احتيال لاحقًا.
خلاصات قابلة للتنفيذ
يُظهر خرق البيانات الطلابية في كاليفورنيا لدى ETS أن قوة وعود المدرسة بشأن الخصوصية محدودة بأضعف متعاقديها. لا تستطيع العائلات إصلاح ذلك وحدها، لكنها تستطيع تقليل الضرر والضغط من أجل ممارسات أفضل.
- جمّد الائتمان للطلاب المتضررين وللبالغين في الأسرة.
- تعامل مع الرسائل غير المتوقعة بشأن الاختبارات أو الخرق على أنها مشبوهة إلى أن يتم التحقق منها عبر القنوات الرسمية.
- اسأل مدرستك أو منطقتك التعليمية وأي متعاقد عن مدة الاحتفاظ ببيانات الطلاب ومن لديه حق الوصول إليها.
- تابع التحديثات من وزارة التعليم في كاليفورنيا وETS مع تطور التحقيق.
ليست هذه المرة الأولى التي تتضرر فيها تكنولوجيا التعليم، وتشير حوادث Canvas إلى أنها لن تكون الأخيرة. ويُعد البقاء على اطلاع وطرح أسئلة مباشرة حول الاحتفاظ بالبيانات من أكثر الخطوات العملية التي يمكن للعائلات اتخاذها.
