カリフォルニア州教育省（CDE）は、請負業者の一つであるEducational Testing Service（ETS）におけるデータ侵害について、学生と家族に通知した。ETSにおけるカリフォルニア州の学生データ侵害は、学校記録のプライバシーが学校自体だけでなく、それに触れるすべての企業に依存していることを思い起こさせる。

CDEは、影響を受けた人々がインシデントに関する情報と利用可能なサポートを確実に受け取れるよう、ETSのデータ侵害通知を配布している。これまでに報告されている内容と、家族が対応できることを以下に示す。

Educational Testing Serviceで何が起きたか

このインシデントに関する報道によると、不正な第三者が侵害されたログイン情報を使用して、州のテストを運営する非営利団体ETSが運用するファイル転送サイトにアクセスした。報道は、侵入者が5月22日から9月18日の間に学生記録をコピーしたと示している。これは、盗まれた単一の認証情報が約4か月間にわたって有効であり続けたと思われる期間である。

この詳細は重要だ。このインシデントは、州自身のシステムへの高度な侵入としては説明されていない。関与していたのはログイン情報と、組織間でテストデータを移動するために使われるファイル転送サイトであった。盗まれたり、再利用されたり、強力な保護なしに放置されたりした認証情報は、攻撃者がシステムに侵入する最も一般的な方法の一つであり、長期間有効なアクセスは厳密な監視がなければ見逃される可能性がある。

報道で引用されたあるセキュリティ評論家は、侵害された学生記録の数を700万件とし、そのような侵害が学生データを保有する組織にもたらす重大なビジネス上および責任上のリスクについて述べた。正確な数字は調査の進行に伴って修正される可能性があるため、初期の数字は暫定的なものとして扱うべきだ。

どの学生データが流出し、誰がリスクにさらされているか

報道によると、盗まれた情報にはカリフォルニア州の学生の氏名、生年月日、障害の状態、テスト結果が含まれている。それぞれが異なるリスクを伴う。

  • 氏名と生年月日は、身元詐称や説得力のあるなりすましの試みの核心的な構成要素である。
  • 障害の状態は非常に機微な情報である。パスワードとは異なり変更することができず、その流出は金銭的詐欺をはるかに超えた害を引き起こす可能性がある。
  • テスト結果は教育記録であり、家族が当然に非公開であることを期待するものである。

最も影響を受けるのは、テストデータがETSのファイル転送サイトを経由したカリフォルニア州の学生であり、現役の学生に加え、記録がどのくらいの期間保管されていたかによっては元学生も含まれる可能性がある。若者はしばしば信用履歴を持たないため、身元詐称者にとって特に魅力的な標的であり、悪用が何年も発覚しないことがある。

CDEまたはETSから通知を受け取った場合は、それを真剣に受け止め、注意深く読んでほしい。通知は、あなたに何が該当し、どのようなサービスが提供されているかについての最も信頼できる情報源である。

なぜ教育請負業者が弱点となるのか

学校や州機関がすべてのシステムを自ら運用することはほとんどない。テスト、学習プラットフォーム、データ処理はしばしば外部委託され、学生情報が他の組織が運用するシステムにコピーされることを意味する。各引き継ぎはデータが流出し得る別の場所を生み出し、家族は通常どのベンダーが使用されるかについて意見を述べることはできない。

この侵害はあるパターンに当てはまる。私たちは、2度目のCanvasデータ侵害がペンシルベニア州立大学やその他の地域で試験を混乱させた事例を報じており、これは多くの教育機関にサービスを提供する技術プロバイダーが障害点となったもう一つのケースである。一つのベンダーが何百万もの学生にサービスを提供している場合、一つの弱点が一度にすべてに影響を及ぼす可能性がある。

教育ベンダーには次の3つの質問を問う価値がある。

  1. データはどのくらいの期間保管されるのか？ 不要になった記録は削除されるべきである。転送サイトに残された古いファイルは負債である。
  2. アクセスはどのように保護されているのか？ 単一の盗まれたログイン情報だけで何百万もの記録に到達できてはならない。
  3. 異常はどのくらい迅速に検出されるのか？ 数か月間持続するアクセスは、検討に値する監視の隙間を示唆している。

これがあなたにとって何を意味するか

カリフォルニア州の親、保護者、または学生である場合、慌てる必要はないが、行動すべきである。報告されているデータは安定した個人情報であるため、リスクはニュースサイクルが過ぎ去った後も長く続く可能性がある。

VPNはこの種の侵害に対しては保護にならない。データはあなたの接続からではなくベンダーのサーバーから取得されたものだからだ。より有用な防御策は以下のとおりである。

  • 信用を凍結する。 信用凍結は無料で、学生の名前で新規口座を開設する試みのほとんどを阻止する。親は一般に未成年者のために凍結を申請できる。手続きについては信用調査機関の手順を確認してほしい。
  • フィッシングに注意する。 学生の名前、生年月日、学校の状況を知っている攻撃者は、非常に説得力のあるメッセージを書くことができる。テスト、奨学金、または侵害自体に関する予期しないメールやテキストには懐疑的になり、リンクをクリックするのではなく公式サイトに直接アクセスしてほしい。
  • 提供されるサポートを利用する。 通知に監視や支援が含まれている場合は、速やかに登録し、通知のコピーを保管してほしい。
  • アカウントを保護する。 メールと学校のアカウントには固有のパスワードと多要素認証を使用してほしい。メールはしばしば他のすべてをリセットする鍵となるからだ。
  • 記録を保管する。 後で詐欺について異議を申し立てる必要が生じた場合に備え、日付、通知、疑わしい活動を記録しておいてほしい。

実行可能な要点

ETSにおけるカリフォルニア州の学生データ侵害は、学校のプライバシーに関する約束の強さが最も弱いベンダーによって制限されることを示している。家族だけではそれを修正できないが、被害を軽減し、より良い慣行を求めることはできる。

  • 影響を受けた学生と世帯内の成人の信用を凍結する。
  • テストや侵害に関する予期しないメッセージは、公式チャネルを通じて確認するまで疑わしいものとして扱う。
  • 学校、学区、およびあらゆるベンダーに、学生データがどのくらいの期間保管され、誰がアクセスできるのかを尋ねる。
  • 調査の進展に伴い、CDEとETSからの最新情報をフォローする。

教育テクノロジーが攻撃を受けたのはこれが初めてではなく、Canvasのインシデントはそれが最後ではないことを示唆している。情報を入手し続け、データ保持について直接質問することが、家族が取れる最も実用的なステップの一つである。