Kalifornian opetusvirasto (CDE) on ilmoittanut opiskelijoille ja perheille tietomurrosta yhdellä urakoitsijoistaan, Educational Testing Service (ETS). Kalifornialaisten opiskelijatietojen tietomurto ETS:llä on muistutus siitä, että koulutietojen yksityisyys riippuu jokaisesta niitä käsittelevästä yrityksestä, ei vain kouluista itsestään.

CDE jakaa ETS:n tietomurtoilmoitusta varmistaakseen, että asianomaiset saavat tietoa tapauksesta ja heille tarjolla olevasta tuesta. Tässä on mitä on tähän mennessä raportoitu, ja mitä perheet voivat tehdä asialle.

Mitä Educational Testing Servicellä tapahtui

Tapauksesta raportoitujen tietojen mukaan luvaton taho käytti vaarantunutta kirjautumistietoa päästäkseen käsiksi ETS:n ylläpitämään tiedostonsiirtosivustoon; ETS on voittoa tavoittelematon järjestö, joka hoitaa osavaltion testausta. Uutisoinnin mukaan tunkeutuja kopioi opiskelijatietoja 22. toukokuuta ja 18. syyskuuta välisenä aikana. Kyse on noin neljän kuukauden ajanjaksosta, jonka aikana yksi varastettu kirjautumistieto näyttää pysyneen käyttökelpoisena.

Tämä yksityiskohta on merkityksellinen. Tapausta ei kuvattu kehittyneeksi murroksi osavaltion omiin järjestelmiin. Siinä oli kyse kirjautumistiedosta ja tiedostonsiirtosivustosta, jota käytetään testitietojen siirtämiseen organisaatioiden välillä. Varastetut, uudelleenkäytetyt tai ilman vahvoja suojauksia jätetyt kirjautumistiedot ovat yksi yleisimmistä tavoista, joilla hyökkääjät pääsevät järjestelmiin, ja pitkäikäinen käyttöoikeus voi jäädä huomaamatta ilman tarkkaa seurantaa.

Eräs uutisoinnissa siteerattu turvallisuuskommentaattori arvioi vaarantuneiden opiskelijatietojen määräksi seitsemän miljoonaa ja kuvaili vakavia liiketoiminta- ja vastuuriskejä, joita tällainen vaarantuminen aiheuttaa opiskelijatietoja hallussaan pitäville organisaatioille. Tarkat luvut voivat tarkentua tutkinnan jatkuessa, joten varhaisia lukuja tulisi pitää alustavina.

Mitä opiskelijatietoja paljastui ja ketkä ovat vaarassa

Raporttien mukaan varastetut tiedot sisältävät kalifornialaisopiskelijoiden nimiä, syntymäaikoja, vammaisuuden tilan ja testituloksia. Jokaisella näistä on erilaiset riskinsä:

  • Nimet ja syntymäajat ovat identiteettivarkauden ja vakuuttavien tekeytymisyritysten keskeisiä rakennuspalikoita.
  • Vammaisuuden tila on erittäin arkaluontoinen. Toisin kuin salasana, sitä ei voi vaihtaa, ja sen paljastuminen voi aiheuttaa haittaa paljon taloudellista petosta laajemmin.
  • Testitulokset ovat koulutusasiakirjoja, joiden perheet kohtuudella odottavat pysyvän yksityisinä.

Eniten kärsivät kalifornialaisopiskelijat, joiden testitiedot kulkivat ETS:n tiedostonsiirtosivuston kautta, mikä voi sisältää nykyisiä opiskelijoita ja mahdollisesti entisiä opiskelijoita riippuen siitä, kuinka kauan tietoja säilytettiin. Nuoret ovat erityisen houkutteleva kohde identiteettivarkaille, koska heillä ei usein ole luottohistoriaa, joten väärinkäyttö voi jäädä huomaamatta vuosiksi.

Jos sait ilmoituksen CDE:ltä tai ETS:ltä, ota se vakavasti ja lue se huolellisesti. Ilmoitus on luotettavin lähde sille, mitä sinuun sovelletaan ja mitä palveluita tarjotaan.

Miksi koulutuksen urakoitsijat ovat heikko lenkki

Koulut ja valtion virastot harvoin ylläpitävät kaikkia järjestelmiä itse. Testaus, oppimisalustat ja tietojenkäsittely ulkoistetaan usein, mikä tarkoittaa, että opiskelijatiedot kopioidaan muiden organisaatioiden ylläpitämiin järjestelmiin. Jokainen siirto luo uuden paikan, jossa tiedot voivat paljastua, eikä perheillä yleensä ole sananvaltaa siihen, mitä toimittajia käytetään.

Tämä tietomurto sopii kaavaan. Olemme käsitelleet sitä, miten toinen Canvas-tietomurto häiritsi tenttejä Penn Statessa ja muualla, toinen tapaus, jossa monia oppilaitoksia palveleva teknologiatoimittaja muodostui vikapisteeksi. Kun yksi toimittaja palvelee miljoonia opiskelijoita, yksi heikkous voi vaikuttaa heihin kaikkiin kerralla.

Kolme kysymystä kannattaa esittää kenelle tahansa koulutustoimittajalle:

  1. Kuinka kauan tietoja säilytetään? Tiedot, joita ei enää tarvita, tulisi poistaa. Vanhat tiedostot siirtosivustolla ovat riski.
  2. Miten käyttöoikeus on suojattu? Yhden varastetun kirjautumistiedon ei pitäisi riittää miljoonien tietueiden saavuttamiseen.
  3. Kuinka nopeasti poikkeamat havaitaan? Kuukausia kestävä käyttöoikeus viittaa seurannan puutteisiin, joita kannattaa tutkia.

Mitä tämä tarkoittaa sinulle

Jos olet vanhempi, huoltaja tai opiskelija Kaliforniassa, sinun ei tarvitse panikoida, mutta sinun tulisi toimia. Raportoidut tiedot ovat pysyviä henkilötietoja, joten riski voi kestää kauan sen jälkeen, kun uutisointi on jo unohtunut.

VPN ei suojaa tällaiselta tietomurrolta, koska tiedot otettiin toimittajan palvelimelta eikä yhteydestäsi. Hyödyllisemmät keinot ovat alla.

  • Aseta luottokielto. Luottokielto on maksuton ja estää useimmat yritykset avata uusia tilejä opiskelijan nimissä. Vanhemmat voivat yleensä pyytää luottokieltoja alaikäisille; tarkista luottotietotoimistojen menettelytavat prosessia varten.
  • Varo tietojenkalastelua. Hyökkääjät, jotka tietävät opiskelijan nimen, syntymäajan ja koulukontekstin, voivat kirjoittaa erittäin vakuuttavia viestejä. Suhtaudu epäillen odottamattomiin sähköposteihin tai tekstiviesteihin testauksesta, stipendeistä tai itse tietomurrosta, ja mene suoraan virallisille sivustoille sen sijaan, että klikkaisit linkkejä.
  • Käytä tarjottua tukea. Jos ilmoitus sisältää seurantaa tai apua, ilmoittaudu viipymättä ja säilytä kopio ilmoituksesta.
  • Suojaa tilit. Käytä ainutlaatuisia salasanoja ja monivaiheista tunnistautumista sähköpostissa ja koulutileillä, sillä sähköposti on usein avain kaiken muun nollaamiseen.
  • Pidä kirjaa. Merkitse muistiin päivämäärät, ilmoitukset ja kaikki epäilyttävä toiminta siltä varalta, että sinun on kiistettävä petos myöhemmin.

Keskeiset toimenpiteet

Kalifornialaisten opiskelijatietojen tietomurto ETS:llä osoittaa, että koulun yksityisyyslupausten vahvuutta rajoittaa sen heikoin toimittaja. Perheet eivät voi korjata sitä yksin, mutta he voivat vähentää vahinkoja ja vaatia parempia käytäntöjä.

  • Aseta luottokielto asianomaisille opiskelijoille ja kotitalouden aikuisille.
  • Käsittele odottamattomia viestejä testauksesta tai tietomurrosta epäilyttävinä, kunnes ne on vahvistettu virallisten kanavien kautta.
  • Kysy koulultasi, koulupiiriltäsi ja kaikilta toimittajilta, kuinka kauan opiskelijatietoja säilytetään ja kenellä on niihin pääsy.
  • Seuraa CDE:n ja ETS:n päivityksiä tutkinnan edetessä.

Tämä ei ole ensimmäinen kerta, kun koulutusteknologiaan on hyökätty, ja Canvas-tapaukset viittaavat siihen, ettei se tule olemaan viimeinen. Tietojen ajan tasalla pysyminen ja suorien kysymysten esittäminen tietojen säilytyksestä on yksi käytännöllisimmistä askelista, joita perheet voivat ottaa.