Departemen Pendidikan California (CDE) telah memberi tahu siswa dan keluarga tentang pelanggaran data pada salah satu kontraktornya, Educational Testing Service (ETS). Pelanggaran data siswa California di ETS adalah pengingat bahwa privasi catatan sekolah bergantung pada setiap perusahaan yang menanganinya, bukan hanya pada sekolah itu sendiri.
CDE mendistribusikan Pemberitahuan Pelanggaran Data ETS untuk membantu memastikan orang-orang yang terdampak menerima informasi tentang insiden tersebut dan dukungan yang tersedia bagi mereka. Berikut adalah apa yang telah dilaporkan sejauh ini, dan apa yang dapat dilakukan keluarga.
Apa yang Terjadi di Educational Testing Service
Menurut laporan tentang insiden tersebut, pihak yang tidak berwenang menggunakan login yang telah dikompromikan untuk mengakses situs transfer file yang dioperasikan oleh ETS, organisasi nirlaba yang menyelenggarakan pengujian untuk negara bagian. Liputan menunjukkan bahwa penyusup menyalin catatan siswa antara 22 Mei dan 18 September. Itu adalah jendela sekitar empat bulan di mana satu kredensial yang dicuri tampaknya tetap berguna.
Detail itu penting. Insiden tersebut tidak digambarkan sebagai pembobolan canggih ke sistem milik negara bagian itu sendiri. Insiden itu melibatkan sebuah login, dan situs transfer file yang digunakan untuk memindahkan data pengujian antar organisasi. Kredensial yang dicuri, digunakan ulang, atau dibiarkan tanpa perlindungan kuat adalah salah satu cara paling umum penyerang masuk ke sistem, dan akses yang berlangsung lama dapat luput dari perhatian tanpa pemantauan yang ketat.
Seorang komentator keamanan yang dikutip dalam liputan menyebut jumlah catatan siswa yang dikompromikan sebanyak tujuh juta, dan menggambarkan risiko bisnis serta tanggung jawab yang parah yang ditimbulkan oleh kompromi semacam itu bagi organisasi yang menyimpan data siswa. Angka pastinya dapat disempurnakan seiring berlanjutnya investigasi, jadi perlakukan angka awal sebagai perkiraan awal.
Data Siswa Apa yang Terpapar dan Siapa yang Berisiko
Laporan menyebutkan informasi yang dicuri mencakup nama, tanggal lahir, status disabilitas, dan hasil tes siswa California. Masing-masing membawa risiko yang berbeda:
- Nama dan tanggal lahir adalah blok bangunan inti untuk pencurian identitas dan untuk upaya penyamaran yang meyakinkan.
- Status disabilitas sangat sensitif. Berbeda dengan kata sandi, status ini tidak dapat diubah, dan paparannya dapat menyebabkan kerugian jauh melampaui penipuan finansial.
- Hasil tes adalah catatan pendidikan yang secara wajar diharapkan keluarga tetap privat.
Orang yang paling terdampak adalah siswa California yang data pengujiannya melewati situs transfer file ETS, yang dapat mencakup siswa saat ini, dan berpotensi siswa sebelumnya tergantung pada berapa lama catatan disimpan. Kaum muda adalah target yang sangat menarik bagi pencuri identitas karena mereka sering tidak memiliki riwayat kredit, sehingga penyalahgunaan dapat tidak terdeteksi selama bertahun-tahun.
Jika Anda menerima pemberitahuan dari CDE atau ETS, anggap serius dan baca dengan saksama. Pemberitahuan tersebut adalah sumber paling andal untuk mengetahui apa yang berlaku bagi Anda dan layanan apa yang ditawarkan.
Mengapa Kontraktor Pendidikan Menjadi Mata Rantai yang Lemah
Sekolah dan lembaga negara bagian jarang menjalankan setiap sistem sendiri. Pengujian, platform pembelajaran, dan pemrosesan data sering dialihdayakan, yang berarti informasi siswa disalin ke sistem yang dijalankan oleh organisasi lain. Setiap penyerahan menciptakan tempat lain di mana data dapat terpapar, dan keluarga biasanya tidak memiliki suara dalam menentukan vendor mana yang digunakan.
Pelanggaran ini mengikuti suatu pola. Kami telah meliput bagaimana pelanggaran data Canvas kedua mengganggu ujian di Penn State dan sekitarnya, kasus lain di mana penyedia teknologi yang melayani banyak institusi menjadi titik kegagalan. Ketika satu vendor melayani jutaan siswa, satu kelemahan dapat memengaruhi semuanya sekaligus.
Tiga pertanyaan layak diajukan kepada vendor pendidikan mana pun:
- Berapa lama data disimpan? Catatan yang tidak lagi diperlukan harus dihapus. File lama yang tersimpan di situs transfer adalah liabilitas.
- Bagaimana akses dilindungi? Satu login yang dicuri seharusnya tidak cukup untuk mengakses jutaan catatan.
- Seberapa cepat anomali terdeteksi? Akses yang bertahan selama berbulan-bulan menunjukkan celah pemantauan yang layak diperiksa.
Apa Artinya Bagi Anda
Jika Anda adalah orang tua, wali, atau siswa di California, Anda tidak perlu panik, tetapi Anda harus bertindak. Data yang dilaporkan terlibat adalah informasi pribadi yang stabil, sehingga risikonya dapat bertahan lama setelah siklus berita berlalu.
VPN tidak melindungi terhadap pelanggaran semacam ini, karena data diambil dari server vendor, bukan dari koneksi Anda. Pertahanan yang lebih berguna adalah yang tercantum di bawah ini.
- Bekukan kredit. Pembekuan kredit gratis dan memblokir sebagian besar upaya membuka akun baru atas nama siswa. Orang tua umumnya dapat meminta pembekuan untuk anak di bawah umur; periksa prosedur biro kredit untuk prosesnya.
- Waspadai phishing. Penyerang yang mengetahui nama siswa, tanggal lahir, dan konteks sekolah dapat menulis pesan yang sangat meyakinkan. Bersikap skeptis terhadap email atau teks tak terduga tentang pengujian, beasiswa, atau pelanggaran itu sendiri, dan langsung kunjungi situs resmi alih-alih mengklik tautan.
- Gunakan dukungan yang ditawarkan. Jika pemberitahuan mencakup pemantauan atau bantuan, daftarlah segera dan simpan salinan pemberitahuan tersebut.
- Amankan akun. Gunakan kata sandi unik dan autentikasi multifaktor pada email dan akun sekolah, karena email sering menjadi kunci untuk mengatur ulang semua hal lainnya.
- Simpan catatan. Catat tanggal, pemberitahuan, dan aktivitas mencurigakan apa pun jika Anda perlu menyanggah penipuan di kemudian hari.
Poin Penting yang Dapat Ditindaklanjuti
Pelanggaran data siswa California di ETS menunjukkan bahwa kekuatan janji privasi sekolah dibatasi oleh vendor terlemahnya. Keluarga tidak dapat memperbaikinya sendiri, tetapi mereka dapat mengurangi kerugian dan mendesak praktik yang lebih baik.
- Bekukan kredit untuk siswa terdampak dan orang dewasa di rumah tangga.
- Perlakukan pesan tak terduga tentang pengujian atau pelanggaran sebagai mencurigakan sampai diverifikasi melalui saluran resmi.
- Tanyakan kepada sekolah, distrik, dan vendor mana pun berapa lama data siswa disimpan dan siapa yang memiliki akses ke sana.
- Ikuti pembaruan dari CDE dan ETS seiring berkembangnya investigasi.
Ini bukan pertama kalinya teknologi pendidikan terkena serangan, dan insiden Canvas menunjukkan bahwa ini tidak akan menjadi yang terakhir. Tetap terinformasi, dan mengajukan pertanyaan langsung tentang penyimpanan data, adalah salah satu langkah paling praktis yang dapat diambil keluarga.
