Департаментът по образование на Калифорния (CDE) уведоми ученици и семейства за нарушение на сигурността на данните при един от своите изпълнители — Educational Testing Service (ETS). Изтичането на ученически данни в Калифорния при ETS е напомняне, че поверителността на училищните записи зависи от всяка компания, която има достъп до тях, а не само от самите училища.

CDE разпространява Известието за нарушение на данните на ETS, за да се гарантира, че засегнатите лица получават информация за инцидента и наличната подкрепа. Ето какво е докладвано дотук и какво могат да направят семействата.

Какво се случи в Educational Testing Service

Според докладите за инцидента неоторизирано лице е използвало компрометирани идентификационни данни за вход, за да достигне до сайт за обмен на файлове, управляван от ETS — нестопанската организация, която провежда тестовете за щата. Публикациите посочват, че натрапникът е копирал ученически записи между 22 май и 18 септември. Това е период от около четири месеца, през който един откраднат идентификатор за вход изглежда е останал usable.

Този детайл е важен. Инцидентът не е описан като сложно проникване в собствените системи на щата. Става въпрос за идентификатор за вход и сайт за обмен на файлове, използван за прехвърляне на тестови данни между организации. Откраднатите, използвани повторно или оставени без силна защита идентификационни данни са сред най-честите начини, по които нападателите проникват в системи, а дълготрайният достъп може да остане незабелязан без внимателно наблюдение.

Един коментатор по сигурността, цитиран в публикациите, оценява броя на компрометираните ученически записи на седем милиона и описва сериозните бизнес и правни рискове, които такова компрометиране създава за организациите, съхраняващи ученически данни. Точните цифри може да бъдат уточнени с продължаването на разследването, така че третирайте ранните числа като предварителни.

Какви ученически данни бяха изложени и кой е изложен на риск

Публикациите посочват, че откраднатата информация включва имена, дати на раждане, статус на увреждане и резултати от тестове на ученици в Калифорния. Всяко от тези данни носи различни рискове:

  • Имената и датите на раждане са основни градивни елементи за кражба на самоличност и за убедителни опити за имитация.
  • Статусът на увреждане е силно чувствителен. За разлика от паролата, той не може да бъде променен и излагането му може да причини вреда далеч отвъд финансовата измама.
  • Резултатите от тестове са образователни записи, които семействата основателно очакват да останат поверителни.

Най-засегнати са учениците в Калифорния, чиито тестови данни са преминали през сайта за обмен на файлове на ETS, което може да включва настоящи ученици и евентуално бивши ученици в зависимост от това колко дълго са съхранявани записите. Младите хора са особено привлекателна цел за крадци на самоличност, защото често нямат кредитна история, така че злоупотребата може да остане незабелязана с години.

Ако сте получили известие от CDE или ETS, приемете го сериозно и го прочетете внимателно. Известието е най-надеждният източник за това какво се отнася до вас и какви услуги се предлагат.

Защо образователните изпълнители са слабо звено

Училищата и държавните агенции рядко управляват сами всяка система. Тестването, платформите за обучение и обработката на данни често се възлагат на външни изпълнители, което означава, че ученическата информация се копира в системи, управлявани от други организации. Всяко предаване създава още едно място, където данните могат да бъдат изложени, а семействата обикновено нямат думата кой доставчик се използва.

Това нарушение се вписва в модел. Разгледали сме как второ изтичане на данни от Canvas наруши изпити в Penn State и извън него — друг случай, в който технологичен доставчик, обслужващ много институции, се превърна в точка на отказ. Когато един доставчик обслужва милиони ученици, една слабост може да засегне всички тях наведнъж.

Три въпроса си струва да зададете на всеки образователен доставчик:

  1. Колко дълго се съхраняват данните? Записите, които вече не са необходими, трябва да бъдат изтрити. Старите файлове, стоящи на сайт за обмен, са отговорност.
  2. Как е защитен достъпът? Един откраднат идентификатор за вход не трябва да е достатъчен за достъп до милиони записи.
  3. Колко бързо се откриват аномалиите? Достъп, който продължава месеци, подсказва пропуски в наблюдението, които си струва да бъдат разгледани.

Какво означава това за вас

Ако сте родител, настойник или ученик в Калифорния, не е нужно да паникьосвате, но трябва да действате. Докладваните данни са стабилна лична информация, така че рискът може да продължи дълго след като новинарският цикъл отмине.

VPN не предпазва от такъв вид нарушение, тъй като данните са взети от сървъра на доставчик, а не от вашата връзка. По-полезните защити са изброените по-долу.

  • Замразете кредита. Замразяването на кредит е безплатно и блокира повечето опити за откриване на нови сметки на името на ученик. Родителите обикновено могат да поискат замразяване за непълнолетни; проверете процедурите на кредитните бюра за процеса.
  • Внимавайте за фишинг. Нападателите, които знаят името, датата на раждане и училищния контекст на ученика, могат да напишат много убедителни съобщения. Бъдете скептични към неочаквани имейли или текстови съобщения за тестове, стипендии или самото нарушение и отивайте директно на официалните сайтове, вместо да кликате на връзки.
  • Използвайте предложената подкрепа. Ако известието включва мониторинг или помощ, регистрирайте се незабавно и запазете копие от известието.
  • Защитете акаунтите. Използвайте уникални пароли и многофакторно удостоверяване за имейл и училищни акаунти, тъй като имейлът често е ключът за нулиране на всичко останало.
  • Съхранявайте записи. Отбелязвайте дати, известия и всяка подозрителна активност, в случай че по-късно трябва да оспорите измама.

Практически изводи

Изтичането на ученически данни в Калифорния при ETS показва, че силата на обещанията за поверителност на едно училище е ограничена от най-слабия му доставчик. Семействата не могат да поправят това сами, но могат да намалят щетите и да настояват за по-добри практики.

  • Замразете кредита за засегнатите ученици и възрастни в домакинството.
  • Третирайте неочакваните съобщения за тестове или нарушението като подозрителни, докато не бъдат потвърдени чрез официални канали.
  • Попитайте вашето училище, район и всеки доставчик колко дълго се съхраняват ученическите данни и кой има достъп до тях.
  • Следете актуализациите от CDE и ETS с развитието на разследването.

Това не е първият път, в който образователните технологии са засегнати, а инцидентите с Canvas подсказват, че няма да е последният. Информираността и задаването на директни въпроси относно съхранението на данни е една от най-практичните стъпки, които семействата могат да предприемат.