Violazione ETS espone 7 milioni di fascicoli студентeschi della California

Il Dipartimento dell'Istruzione della California (CDE) ha notificato a studenti e famiglie una violazione dei dati presso uno dei suoi appaltatori, Educational Testing Service (ETS). La violazione dei dati degli studenti della California presso ETS è un promemoria del fatto che la privacy dei fascicoli scolastici dipende da ogni azienda che li tratta, non solo dalle scuole stesse.

Il CDE sta distribuendo l'Avviso di Violazione dei Dati di ETS per aiutare a garantire che le persone colpite ricevano informazioni sull'incidente e sul supporto disponibile per loro. Ecco quanto è stato riportato finora e cosa possono fare le famiglie al riguardo.

Cosa è successo presso Educational Testing Service

Secondo i resoconti sull'incidente, una parte non autorizzata ha utilizzato un login compromesso per raggiungere un sito di trasferimento file gestito da ETS, l'organizzazione no-profit che gestisce i test per lo stato. Le cronache indicano che l'intruso ha copiato i fascicoli degli studenti tra il 22 maggio e il 18 settembre. Si tratta di una finestra di circa quattro mesi in cui una singola credenziale rubata sembra essere rimasta utile.

Questo dettaglio è importante. L'incidente non è stato descritto come un'intrusione sofisticata nei sistemi dello stato stesso. Ha coinvolto un login e un sito di trasferimento file utilizzato per spostare i dati dei test tra organizzazioni. Le credenziali rubate, riutilizzate o lasciate senza protezioni solide sono tra i modi più comuni con cui gli attaccanti accedono ai sistemi, e un accesso di lunga durata può passare inosservato senza un monitoraggio attento.

Un commentatore esperto di sicurezza citato nelle cronache ha indicato in sette milioni il numero di fascicoli studenteschi compromessi, e ha descritto i gravi rischi aziendali e di responsabilità che una tale compromissione crea per le organizzazioni che detengono dati degli studenti. Le cifre esatte potrebbero essere affinate man mano che l'indagine prosegue, quindi considera i numeri iniziali come preliminari.

Quali dati degli studenti sono stati esposti e chi è a rischio

I resoconti affermano che le informazioni rubate includono nomi, date di nascita, stato di disabilità e risultati dei test degli studenti della California. Ognuno di questi comporta rischi diversi:

• Nomi e date di nascita sono elementi fondamentali per il furto d'identità e per tentativi di impersonificazione convincenti.
• Lo stato di disabilità è altamente sensibile. A differenza di una password, non può essere cambiato, e la sua esposizione può causare danni ben oltre la frode finanziaria.
• I risultati dei test sono fascicoli scolastici che le famiglie ragionevolmente si aspettano rimangano privati.

Le persone maggiormente colpite sono gli studenti della California i cui dati dei test sono passati attraverso il sito di trasferimento file di ETS, che potrebbe includere studenti attuali e potenzialmente ex studenti a seconda di quanto a lungo sono stati conservati i fascicoli. I giovani sono un bersaglio particolarmente attraente per i ladri d'identità perché spesso non hanno una storia creditizia, quindi l'abuso può passare inosservato per anni.

Se hai ricevuto un avviso dal CDE o da ETS, prendilo sul serio e leggilo attentamente. L'avviso è la fonte più affidabile per ciò che ti riguarda e per i servizi offerti.

Perché gli appaltatori dell'istruzione sono un anello debole

Le scuole e le agenzie statali raramente gestiscono ogni sistema da sole. I test, le piattaforme di apprendimento e l'elaborazione dei dati sono spesso esternalizzati, il che significa che le informazioni degli studenti vengono copiate in sistemi gestiti da altre organizzazioni. Ogni passaggio crea un altro luogo in cui i dati possono essere esposti, e le famiglie di solito non hanno voce in capitolo su quali fornitori vengono utilizzati.

Questa violazione segue un modello. Abbiamo trattato come una seconda violazione dei dati di Canvas abbia interrotto gli esami alla Penn State e oltre, un altro caso in cui un fornitore di tecnologia al servizio di molte istituzioni è diventato il punto di fallimento. Quando un fornitore serve milioni di studenti, una debolezza può colpirli tutti contemporaneamente.

Tre domande valgono la pena di essere poste a qualsiasi fornitore educativo:

1. Per quanto tempo vengono conservati i dati? I fascicoli non più necessari dovrebbero essere eliminati. I vecchi file che restano su un sito di trasferimento sono una responsabilità.
2. Come viene protetto l'accesso? Un singolo login rubato non dovrebbe essere sufficiente per raggiungere milioni di fascicoli.
3. Con quale rapidità vengono rilevate le anomalie? Un accesso che persiste per mesi suggerisce lacune nel monitoraggio che meritano di essere esaminate.

Cosa significa per te

Se sei un genitore, un tutore o uno studente in California, non devi farti prendere dal panico, ma dovresti agire. I dati presumibilmente coinvolti sono informazioni personali stabili, quindi il rischio può durare a lungo dopo che il ciclo di notizie si è spostato altrove.

Una VPN non protegge da questo tipo di violazione, poiché i dati sono stati presi dal server di un fornitore anziché dalla tua connessione. Le difese più utili sono quelle elencate di seguito.

• Blocca il credito. Il blocco del credito è gratuito e blocca la maggior parte dei tentativi di aprire nuovi conti a nome di uno studente. I genitori possono generalmente richiedere blocchi per i minori; consulta le procedure delle agenzie di credito per il processo.
• Attenzione al phishing. Gli attaccanti che conoscono il nome di uno studente, la data di nascita e il contesto scolastico possono scrivere messaggi molto convincenti. Sii scettico riguardo a email o SMS inaspettati su test, borse di studio o sulla violazione stessa, e vai direttamente ai siti ufficiali invece di cliccare sui link.
• Usa il supporto offerto. Se l'avviso include monitoraggio o assistenza, iscriviti prontamente e conserva una copia dell'avviso.
• Proteggi gli account. Usa password uniche e autenticazione a più fattori su email e account scolastici, poiché l'email è spesso la chiave per reimpostare tutto il resto.
• Conserva i registri. Annota date, avvisi e qualsiasi attività sospetta nel caso in cui tu debba contestare una frode in seguito.

Punti chiave concreti

La violazione dei dati degli studenti della California presso ETS dimostra che la solidità delle promesse sulla privacy di una scuola è limitata dal suo fornitore più debole. Le famiglie non possono risolverlo da sole, ma possono ridurre i danni e premere per pratiche migliori.

• Blocca il credito per gli studenti colpiti e gli adulti del nucleo familiare.
• Tratta i messaggi inaspettati su test o sulla violazione come sospetti finché non vengono verificati attraverso canali ufficiali.
• Chiedi alla tua scuola, al distretto e a qualsiasi fornitore per quanto tempo vengono conservati i dati degli studenti e chi vi ha accesso.
• Segui gli aggiornamenti del CDE e di ETS man mano che l'indagine si sviluppa.

Non è la prima volta che la tecnologia educativa viene colpita, e gli incidenti di Canvas suggeriscono che non sarà l'ultima. Restare informati e porre domande dirette sulla conservazione dei dati è uno dei passi più pratici che le famiglie possono compiere.