California Department of Education (CDE) har underrettet elever og familier om et databrud hos en af sine underleverandører, Educational Testing Service (ETS). Det californiske elevdatabrud hos ETS er en påmindelse om, at fortroligheden af skolejournaler afhænger af enhver virksomhed, der har adgang til dem, og ikke kun af skolerne selv.

CDE distribuerer ETS' meddelelse om databrud for at hjælpe med at sikre, at berørte personer modtager information om hændelsen og den støtte, der er tilgængelig for dem. Her er, hvad der er rapporteret indtil videre, og hvad familier kan gøre ved det.

Hvad skete der hos Educational Testing Service

Ifølge rapporter om hændelsen brugte en uautoriseret part et kompromitteret login til at få adgang til et filoverførselssted, der drives af ETS, den nonprofitorganisation, der gennemfører test for staten. Dækningen indikerer, at den ubudne gæst kopierede elevjournaler mellem 22. maj og 18. september. Det er et vindue på cirka fire måneder, hvor en enkelt stjålet adgangsoplysning ser ud til at have været brugbar.

Den detalje er vigtig. Hændelsen blev ikke beskrevet som et sofistikeret indbrud i statens egne systemer. Det involverede et login og et filoverførselssted, der bruges til at flytte testdata mellem organisationer. Adgangsoplysninger, der stjæles, genbruges eller efterlades uden stærk beskyttelse, er blandt de mest almindelige måder, hvorpå angribere kommer ind i systemer, og langvarig adgang kan forblive ubemærket uden tæt overvågning.

En sikkerhedskommentator, der citeres i dækningen, anslog antallet af kompromitterede elevjournaler til syv millioner og beskrev de alvorlige forretnings- og ansvarsrisici, et sådant kompromis skaber for organisationer, der opbevarer elevdata. De præcise tal kan blive præciseret, efterhånden som undersøgelsen fortsætter, så betragt tidlige tal som foreløbige.

Hvilke elevdata blev blotlagt, og hvem er i risikozonen

Rapporter siger, at de stjålne oplysninger omfatter navne, fødselsdatoer, handicapstatus og testresultater for californiske elever. Hver af disse medfører forskellige risici:

  • Navne og fødselsdatoer er centrale byggesten for identitetstyveri og for overbevisende efterligningsforsøg.
  • Handicapstatus er yderst følsom. I modsætning til en adgangskode kan den ikke ændres, og dens eksponering kan forårsage skade langt ud over økonomisk svindel.
  • Testresultater er uddannelsesjournaler, som familier med rimelighed forventer forbliver private.

De mest berørte er californiske elever, hvis testdata passerede gennem ETS' filoverførselssted, hvilket kan omfatte nuværende elever og potentielt tidligere elever afhængigt af, hvor længe journaler blev opbevaret. Unge mennesker er et særligt attraktivt mål for identitetstyve, fordi de ofte ikke har nogen kredithistorik, så misbrug kan forblive uopdaget i årevis.

Hvis du har modtaget en meddelelse fra CDE eller ETS, tag den alvorligt og læs den grundigt. Meddelelsen er den mest pålidelige kilde til, hvad der gælder for dig, og hvilke tjenester der tilbydes.

Hvorfor uddannelsesleverandører er et svagt led

Skoler og statslige organer driver sjældent alle systemer selv. Test, læringsplatforme og databehandling outsources ofte, hvilket betyder, at elevoplysninger kopieres ind i systemer, der drives af andre organisationer. Hver overdragelse skaber endnu et sted, hvor data kan blotlægges, og familier har normalt ingen indflydelse på, hvilke leverandører der bruges.

Dette brud passer ind i et mønster. Vi har dækket, hvordan et andet Canvas-databrud forstyrrede eksamener på Penn State og andre steder, endnu et tilfælde, hvor en teknologileverandør, der betjener mange institutioner, blev fejlpunktet. Når én leverandør betjener millioner af elever, kan én svaghed påvirke dem alle på én gang.

Tre spørgsmål er værd at stille til enhver uddannelsesleverandør:

  1. Hvor længe opbevares data? Journaler, der ikke længere er nødvendige, bør slettes. Gamle filer, der ligger på et overførselssted, er en byrde.
  2. Hvordan beskyttes adgang? Et enkelt stjålet login bør ikke være nok til at nå millioner af journaler.
  3. Hvor hurtigt opdages uregelmæssigheder? Adgang, der varer i månedsvis, tyder på overvågningshuller, der er værd at undersøge.

Hvad det betyder for dig

Hvis du er forælder, værge eller elev i Californien, behøver du ikke at gå i panik, men du bør handle. De data, der efter sigende er involveret, er stabile personlige oplysninger, så risikoen kan vare længe efter, at nyhedscyklussen er videre.

En VPN beskytter ikke mod denne type brud, da dataene blev taget fra en leverandørs server og ikke fra din forbindelse. De mere nyttige forsvar er dem nedenfor.

  • Frys kreditten. En kreditfrysning er gratis og blokerer de fleste forsøg på at åbne nye konti i en elevs navn. Forældre kan generelt anmode om frysninger for mindreårige; tjek kreditbureauernes procedurer for processen.
  • Vær opmærksom på phishing. Angribere, der kender en elevs navn, fødselsdato og skolekontekst, kan skrive meget overbevisende beskeder. Vær skeptisk over for uventede e-mails eller sms'er om test, stipendier eller selve bruddet, og gå direkte til officielle websteder i stedet for at klikke på links.
  • Brug den tilbudte støtte. Hvis meddelelsen omfatter overvågning eller assistance, tilmeld dig hurtigt og gem en kopi af meddelelsen.
  • Sikr konti. Brug unikke adgangskoder og multifaktorautentificering på e-mail- og skolekonti, da e-mail ofte er nøglen til at nulstille alt andet.
  • Gem dokumentation. Noter datoer, meddelelser og enhver mistænkelig aktivitet, i tilfælde af at du senere skal bestride svindel.

Handlingsrettede pointer

Det californiske elevdatabrud hos ETS viser, at styrken af en skoles løfter om fortrolighed er begrænset af dens svageste leverandør. Familier kan ikke løse det alene, men de kan reducere skaden og presse på for bedre praksis.

  • Frys kreditten for berørte elever og voksne i husstanden.
  • Behandl uventede beskeder om test eller bruddet som mistænkelige, indtil de er verificeret gennem officielle kanaler.
  • Spørg din skole, dit distrikt og enhver leverandør, hvor længe elevdata opbevares, og hvem der har adgang til dem.
  • Følg opdateringer fra CDE og ETS, efterhånden som undersøgelsen skrider frem.

Dette er ikke første gang, uddannelsesteknologi er blevet ramt, og Canvas-hændelserne tyder på, at det ikke bliver sidste gang. At holde sig informeret og stille direkte spørgsmål om dataopbevaring er et af de mest praktiske skridt, familier kan tage.