A Kaliforniai Oktatási Minisztérium (CDE) értesítette a diákokat és családjaikat egyik szerződő partnere, az Educational Testing Service (ETS) adatvédelmi incidenséről. A kaliforniai diákadatok ETS-nél történt szivárgása arra emlékeztet, hogy az iskolai nyilvántartások magánszférájának védelme minden olyan vállalattól függ, amely hozzáfér ezekhez az adatokhoz, nem csupán maguktól az iskoláktól.

A CDE terjeszti az ETS adatvédelmi incidensről szóló értesítését, hogy segítsen biztosítani, hogy az érintettek tájékoztatást kapjanak az incidensről és a rendelkezésükre álló támogatásról. Íme, amit eddig jelentettek, és amit a családok tehetnek.

Mi történt az Educational Testing Service-nél

Az incidensről szóló beszámolók szerint egy illetéktelen fél egy feltört bejelentkezési adatot használt fel, hogy hozzáférjen az ETS által üzemeltetett fájlátviteli oldalhoz, amely nonprofit szervezet az állam számára folytat vizsgáztatást. A tudósítások szerint a behatoló május 22. és szeptember 18. között másolta a diákok nyilvántartásait. Ez körülbelül négy hónapos időszak, amely alatt úgy tűnik, hogy egyetlen ellopott hitelesítő adat hasznos maradt.

Ez a részlet számít. Az incidenst nem úgy írták le, mint az állam saját rendszerei elleni kifinomult betörést. Egy bejelentkezési adatot és egy fájlátviteli oldalt érintett, amelyet a vizsgálati adatok szervezetek közötti mozgatására használnak. Az ellopott, újra felhasznált vagy erős védelem nélkül hagyott hitelesítő adatok a támadók egyik leggyakoribb belépési módja a rendszerekbe, és a hosszú ideig fennálló hozzáférés szoros megfigyelés nélkül észrevétlen maradhat.

Egy biztonsági szakértő, akit a tudósítások idéznek, a kompromittált diáknyilvántartások számát hét millióra tette, és leírta a súlyos üzleti és felelősségi kockázatokat, amelyeket egy ilyen kompromittálódás jelent a diákadatokat tároló szervezetek számára. A pontos számok a nyomozás előrehaladtával pontosabbá válhatnak, ezért a korai számokat előzetesnek kell tekinteni.

Milyen diákadatok szivárogtak ki és ki van veszélyben

A jelentések szerint az ellopott információk tartalmazzák a kaliforniai diákok nevét, születési dátumát, fogyatékossági státuszát és vizsgaeredményeit. Ezek mindegyike különböző kockázatokat hordoz:

  • A nevek és születési dátumok a személyazonosság-lopás és a meggyőző megszemélyesítési kísérletek alapvető építőelemei.
  • A fogyatékossági státusz rendkívül érzékeny. A jelszóval ellentétben nem változtatható meg, és a nyilvánosságra kerülése a pénzügyi csalásokon jóval túlmutató károkat okozhat.
  • A vizsgaeredmények olyan oktatási nyilvántartások, amelyekről a családok jogosan várják el, hogy bizalmasak maradjanak.

A leginkább érintett személyek azok a kaliforniai diákok, akiknek a vizsgálati adatai áthaladtak az ETS fájlátviteli oldalán, ami magában foglalhat jelenlegi diákokat, és potenciálisan korábbi diákokat is, attól függően, hogy mennyi ideig őrizték meg a nyilvántartásokat. A fiatalok különösen vonzó célpontot jelentenek a személyazonosság-lopók számára, mert gyakran nincs hiteltörténetük, így a visszaélés évekig észrevétlen maradhat.

Ha értesítést kapott a CDE-től vagy az ETS-től, vegye komolyan és olvassa el figyelmesen. Az értesítés a legmegbízhatóbb forrás arra vonatkozóan, hogy mi vonatkozik Önre, és milyen szolgáltatásokat kínálnak.

Miért jelentenek gyenge láncszemet az oktatási beszállítók

Az iskolák és állami ügynökségek ritkán működtetnek minden rendszert maguk. A vizsgáztatást, a tanulási platformokat és az adatfeldolgozást gyakran kiszervezik, ami azt jelenti, hogy a diákadatok más szervezetek által működtetett rendszerekbe kerülnek át. Minden átadás újabb helyet teremt, ahol az adatok kiszivároghatnak, és a családok általában nem szólhatnak bele, hogy mely beszállítókat használják.

Ez a szivárgás egy mintába illeszkedik. Foglalkoztunk azzal, hogyan zavart meg egy második Canvas adatszivárgás vizsgákat a Penn State-en és azon túl, egy másik eset, amikor egy sok intézményt kiszolgáló technológiai szolgáltató vált a hiba pontjává. Amikor egy beszállító milliókat szolgál ki diákokat, egyetlen gyengeség egyszerre mindegyiküket érintheti.

Három kérdés érdemes feltenni bármely oktatási beszállítónak:

  1. Mennyi ideig tárolják az adatokat? A már nem szükséges nyilvántartásokat törölni kell. A fájlátviteli oldalon heverő régi fájlok felelősséget jelentenek.
  2. Hogyan védik a hozzáférést? Egyetlen ellopott bejelentkezési adat nem lehet elegendő millióknyi nyilvántartás eléréséhez.
  3. Milyen gyorsan észlelik a rendellenességeket? A hónapokig fennálló hozzáférés a megfigyelési hiányosságokra utal, amelyeket érdemes megvizsgálni.

Mit jelent ez Önnek

Ha Ön szülő, gondviselő vagy diák Kaliforniában, nem kell pánikba esnie, de cselekednie kell. A jelentések szerint érintett adatok stabil személyes információk, így a kockázat jóval tovább fennmaradhat, miután a hírciklus továbblép.

A VPN nem nyújt védelmet az ilyen típusú adatszivárgás ellen, mivel az adatokat egy beszállító szerveréről lopták el, nem az Ön kapcsolatából. A hasznosabb védekezési módok az alábbiak.

  • Hitelfagyasztás. A hitelfagyasztás ingyenes, és blokkolja a legtöbb kísérletet, amely a diák nevében új számlák nyitására irányul. A szülők általában kérhetnek fagyasztást kiskorúak számára; ellenőrizze a hitelirodák eljárásait a folyamathoz.
  • Figyeljen az adathalászatra. Azok a támadók, akik ismerik a diák nevét, születési dátumát és iskolai kontextusát, nagyon meggyőző üzeneteket írhatnak. Legyen szkeptikus a vizsgáztatással, ösztöndíjakkal vagy magával a szivárgással kapcsolatos váratlan e-mailekkel vagy üzenetekkel szemben, és közvetlenül a hivatalos oldalakra menjen a hivatkozásokra kattintás helyett.
  • Használja a felkínált támogatást. Ha az értesítés tartalmaz megfigyelést vagy segítséget, iratkozzon fel haladéktalanul, és őrizze meg az értesítés egy példányát.
  • Biztosítsa a fiókokat. Használjon egyedi jelszavakat és többtényezős hitelesítést az e-mail és iskolai fiókokon, mivel az e-mail gyakran kulcsfontosságú minden más visszaállításához.
  • Őrizzen meg feljegyzéseket. Jegyezze fel a dátumokat, értesítéseket és bármilyen gyanús tevékenységet, arra az esetre, ha később vitatnia kell egy csalást.

Gyakorlati tanulságok

A kaliforniai diákadatok ETS-nél történt szivárgása azt mutatja, hogy az iskola adatvédelmi ígéreteinek erejét a leggyengébb beszállítója korlátozza. A családok ezt egyedül nem tudják megoldani, de csökkenthetik a kárt, és sürgethetik a jobb gyakorlatokat.

  • Fagyassza le a hitelt az érintett diákok és a háztartásban élő felnőttek számára.
  • Kezelje gyanúsan a vizsgáztatással vagy a szivárgással kapcsolatos váratlan üzeneteket, amíg hivatalos csatornákon keresztül nem igazolták azokat.
  • Kérdezze meg iskoláját, tankerületét és bármely beszállítót, hogy mennyi ideig tárolják a diákadatokat, és ki fér hozzájuk.
  • Kövesse a CDE és az ETS frissítéseit a nyomozás előrehaladtával.

Ez nem az első eset, hogy az oktatási technológiát támadás érte, és a Canvas incidensek arra utalnak, hogy nem is az utolsó. A tájékozottság megőrzése és az adatmegőrzéssel kapcsolatos közvetlen kérdések feltevése az egyik legpraktikusabb lépés, amelyet a családok tehetnek.