Kalifornské ministerstvo školství (CDE) informovalo studenty a rodiny o úniku dat u jednoho ze svých dodavatelů, Educational Testing Service (ETS). Únik dat kalifornských studentů u ETS je připomínkou, že soukromí školních záznamů závisí na každé společnosti, která s nimi přijde do styku, nejen na samotných školách.

CDE distribuuje oznámení ETS o úniku dat, aby zajistilo, že postižení lidé obdrží informace o incidentu a dostupnou podporu. Zde je to, co bylo dosud hlášeno, a co mohou rodiny udělat.

Co se stalo v Educational Testing Service

Podle zpráv o incidentu použila neoprávněná strana kompromitované přihlašovací údaje k přístupu na server pro přenos souborů provozovaný ETS, neziskovou organizací, která pro stát zajišťuje testování. Zpravodajství uvádí, že vetřelec zkopíroval studentské záznamy mezi 22. květnem a 18. zářím. To je období přibližně čtyř měsíců, během kterého se zdá, že jeden ukradený přihlašovací údaj zůstal použitelný.

Tento detail je důležitý. Incident nebyl popsán jako sofistikovaný průnik do vlastních systémů státu. Zahrnoval přihlášení a server pro přenos souborů používaný k přesunu testovacích dat mezi organizacemi. Ukradené, znovu použité nebo nedostatečně chráněné přihlašovací údaje patří mezi nejčastější způsoby, jak se útočníci dostávají do systémů, a dlouhodobý přístup může zůstat bez povšimnutí bez pečlivého monitorování.

Jeden bezpečnostní komentátor citovaný ve zpravodajství uvedl počet kompromitovaných studentských záznamů na sedm milionů a popsal závažná obchodní a odpovědnostní rizika, která taková kompromitace vytváří pro organizace, které uchovávají studentská data. Přesné údaje mohou být upřesněny, jak vyšetřování pokračuje, takže rané počty považujte za předběžné.

Jaká studentská data byla odhalena a kdo je ohrožen

Zprávy uvádějí, že ukradené informace zahrnují jména, data narození, status zdravotního postižení a výsledky testů kalifornských studentů. Každý z těchto údajů nese různá rizika:

  • Jména a data narození jsou základními stavebními kameny pro krádež identity a pro přesvědčivé pokusy o vydávání se za někoho jiného.
  • Status zdravotního postižení je vysoce citlivý. Na rozdíl od hesla jej nelze změnit a jeho odhalení může způsobit újmu daleko přesahující finanční podvod.
  • Výsledky testů jsou vzdělávací záznamy, u kterých rodiny oprávněně očekávají, že zůstanou soukromé.

Nejvíce postižení jsou kalifornští studenti, jejichž testovací data prošla serverem pro přenos souborů ETS, což může zahrnovat současné studenty a potenciálně i bývalé studenty v závislosti na tom, jak dlouho byly záznamy uchovávány. Mladí lidé jsou obzvláště atraktivním cílem pro zloděje identity, protože často nemají žádnou kreditní historii, takže zneužití může zůstat roky neodhaleno.

Pokud jste obdrželi oznámení od CDE nebo ETS, berte ho vážně a pečlivě si ho přečtěte. Oznámení je nejspolehlivějším zdrojem informací o tom, co se vás týká a jaké služby jsou nabízeny.

Proč jsou vzdělávací dodavatelé slabým článkem

Školy a státní agentury zřídka provozují všechny systémy samy. Testování, výukové platformy a zpracování dat jsou často outsourcovány, což znamená, že studentské informace jsou kopírovány do systémů provozovaných jinými organizacemi. Každé předání vytváří další místo, kde mohou být data odhalena, a rodiny obvykle nemají žádný vliv na to, kteří dodavatelé jsou použiti.

Tento únik zapadá do vzorce. Pokryli jsme, jak druhý únik dat Canvas narušil zkoušky na Penn State a jinde, další případ, kdy se poskytovatel technologií sloužící mnoha institucím stal bodem selhání. Když jeden dodavatel slouží milionům studentů, jedna slabina může ovlivnit všechny najednou.

U každého vzdělávacího dodavatele stojí za to položit si tři otázky:

  1. Jak dlouho jsou data uchovávána? Záznamy, které již nejsou potřeba, by měly být smazány. Staré soubory ležící na serveru pro přenos jsou zátěží.
  2. Jak je chráněn přístup? Jedno ukradené přihlášení by nemělo stačit k přístupu k milionům záznamů.
  3. Jak rychle jsou odhaleny anomálie? Přístup, který přetrvává měsíce, naznačuje mezery v monitorování, které stojí za prozkoumání.

Co to znamená pro vás

Pokud jste rodič, opatrovník nebo student v Kalifornii, nemusíte panikařit, ale měli byste jednat. Údajně dotčená data jsou stabilní osobní informace, takže riziko může přetrvávat dlouho poté, co se zpravodajský cyklus posune dál.

VPN vás před tímto typem úniku neochrání, protože data byla získána ze serveru dodavatele, nikoli z vašeho připojení. Užitečnější obranou jsou ty uvedené níže.

  • Zmrazení kreditu. Zmrazení kreditu je zdarma a blokuje většinu pokusů o otevření nových účtů na jméno studenta. Rodiče mohou obecně požádat o zmrazení pro nezletilé; postup najdete v procedurách úvěrových kanceláří.
  • Sledujte phishing. Útočníci, kteří znají jméno studenta, datum narození a školní kontext, mohou psát velmi přesvědčivé zprávy. Buďte skeptičtí k neočekávaným e-mailům nebo textovým zprávám o testování, stipendiích nebo samotném úniku a jděte přímo na oficiální stránky místo klikání na odkazy.
  • Využijte nabízenou podporu. Pokud oznámení zahrnuje monitorování nebo pomoc, přihlaste se promptly a uschovejte si kopii oznámení.
  • Zabezpečte účty. Používejte jedinečná hesla a vícefaktorové ověřování u e-mailu a školních účtů, protože e-mail je často klíčem k resetování všeho ostatního.
  • Veďte záznamy. Zaznamenejte data, oznámení a jakoukoli podezřelou aktivitu pro případ, že budete muset později zpochybnit podvod.

Praktické závěry

Únik dat kalifornských studentů u ETS ukazuje, že síla slibů soukromí školy je omezena jejím nejslabším dodavatelem. Rodiny to samy nemohou napravit, ale mohou snížit škody a prosazovat lepší postupy.

  • Zmrazte kredit postiženým studentům a dospělým v domácnosti.
  • Považujte neočekávané zprávy o testování nebo úniku za podezřelé, dokud nejsou ověřeny prostřednictvím oficiálních kanálů.
  • Zeptejte se své školy, okresu a jakéhokoli dodavatele, jak dlouho jsou studentská data uchovávána a kdo k nim má přístup.
  • Sledujte aktualizace od CDE a ETS, jak se vyšetřování vyvíjí.

Toto není poprvé, co byla vzdělávací technologie zasažena, a incidenty Canvas naznačují, že to nebude naposledy. Zůstat informován a klást přímé otázky o uchovávání dat je jedním z nejpraktičtějších kroků, které mohou rodiny podniknout.