캘리포니아 교육부(CDE)는 계약업체 중 하나인 교육평가서비스(ETS)의 데이터 침해 사고에 대해 학생과 가족들에게 통지했습니다. ETS에서 발생한 캘리포니아 학생 데이터 침해 사고는 학교 기록의 프라이버시가 학교 자체뿐 아니라 그 기록을 다루는 모든 기업에 달려 있다는 점을 상기시켜 줍니다.

CDE는 영향을 받은 사람들이 사건에 관한 정보와 이용 가능한 지원을 받을 수 있도록 ETS 데이터 침해 통지서를 배포하고 있습니다. 지금까지 보고된 내용과 가족들이 할 수 있는 조치를 소개합니다.

교육평가서비스에서 무슨 일이 있었나

사건에 관한 보도에 따르면, 권한 없는 제3자가 탈취된 로그인 정보를 이용해 주(州)의 시험을 운영하는 비영리 단체인 ETS가 운영하는 파일 전송 사이트에 접근했습니다. 보도에 따르면 침입자는 5월 22일부터 9월 18일 사이에 학생 기록을 복사했습니다. 약 4개월에 걸친 기간 동안 탈취된 단일 자격 증명이 계속 유효했던 것으로 보입니다.

이 세부 사항은 중요합니다. 이 사건은 주 자체 시스템에 대한 정교한 해킹으로 묘사되지 않았습니다. 로그인 정보와 기관 간 시험 데이터를 전송하는 데 사용되는 파일 전송 사이트가 관련되었습니다. 탈취되거나 재사용되거나 강력한 보호 조치 없이 방치된 자격 증명은 공격자가 시스템에 침입하는 가장 흔한 방법 중 하나이며, 면밀한 모니터링 없이는 장기간 유지되는 접근 권한이 눈에 띄지 않을 수 있습니다.

보도에서 인용된 한 보안 논평가는 침해된 학생 기록 수를 700만 건으로 추정하며, 이러한 침해가 학생 데이터를 보유한 조직에 초래하는 심각한 비즈니스 및 책임 위험을 설명했습니다. 조사가 진행됨에 따라 정확한 수치는 조정될 수 있으므로 초기 수치는 잠정적으로 간주해야 합니다.

어떤 학생 데이터가 노출되었고 누가 위험에 처해 있나

보도에 따르면 탈취된 정보에는 캘리포니아 학생들의 이름, 생년월일, 장애 상태, 시험 결과가 포함되어 있습니다. 각각은 서로 다른 위험을 수반합니다:

  • 이름과 생년월일은 신원 도용과 설득력 있는 사칭 시도의 핵심 구성 요소입니다.
  • 장애 상태는 매우 민감한 정보입니다. 비밀번호와 달리 변경할 수 없으며, 노출되면 금전적 사기 훨씬 너머의 피해를 초래할 수 있습니다.
  • 시험 결과는 가족들이 당연히 비공개로 유지되기를 기대하는 교육 기록입니다.

가장 큰 영향을 받는 사람들은 시험 데이터가 ETS 파일 전송 사이트를 거친 캘리포니아 학생들로, 현재 학생들과 기록 보관 기간에 따라 잠재적으로 이전 학생들도 포함될 수 있습니다. 젊은 사람들은 신용 이력이 없는 경우가 많아 신원 도용범들에게 특히 매력적인 표적이며, 오용이 수년간 발견되지 않을 수 있습니다.

CDE나 ETS로부터 통지서를 받았다면 진지하게 받아들이고 주의 깊게 읽으십시오. 통지서는 귀하에게 적용되는 사항과 제공되는 서비스에 관한 가장 신뢰할 수 있는 출처입니다.

교육 계약업체가 취약 고리인 이유

학교와 주 정부 기관이 모든 시스템을 직접 운영하는 경우는 드뭅니다. 시험, 학습 플랫폼, 데이터 처리는 종종 외부에 위탁되며, 이는 학생 정보가 다른 조직이 운영하는 시스템에 복사된다는 것을 의미합니다. 각각의 인계 과정은 데이터가 노출될 수 있는 또 다른 지점을 만들며, 가족들은 일반적으로 어떤 업체가 사용되는지에 대해 발언권이 없습니다.

이번 침해 사고는 하나의 패턴에 해당합니다. 우리는 두 번째 Canvas 데이터 침해 사고가 펜실베이니아 주립대와 그 너머의 시험을 중단시킨 사례를 보도한 바 있으며, 이는 많은 기관에 서비스를 제공하는 기술 제공업체가 실패 지점이 된 또 다른 사례입니다. 하나의 업체가 수백만 명의 학생에게 서비스를 제공할 때, 하나의 취약점이 한 번에 모든 학생에게 영향을 미칠 수 있습니다.

모든 교육 업체에 대해 물어볼 가치가 있는 세 가지 질문이 있습니다:

  1. 데이터는 얼마나 오래 보관됩니까? 더 이상 필요하지 않은 기록은 삭제되어야 합니다. 전송 사이트에 남아 있는 오래된 파일은 부채입니다.
  2. 접근은 어떻게 보호됩니까? 탈취된 단일 로그인 정보만으로 수백만 건의 기록에 접근할 수 있어서는 안 됩니다.
  3. 이상 징후는 얼마나 빨리 탐지됩니까? 수개월간 지속되는 접근은 면밀히 조사할 가치가 있는 모니터링 격차를 시사합니다.

이것이 귀하에게 의미하는 바

캘리포니아의 학부모, 보호자 또는 학생이라면 당황할 필요는 없지만 행동에 나서야 합니다. 보고된 데이터는 변하지 않는 개인 정보이므로, 뉴스 주기가 지나간 후에도 위험이 오래 지속될 수 있습니다.

VPN은 이러한 종류의 침해로부터 보호하지 못합니다. 데이터가 귀하의 연결이 아닌 업체의 서버에서 탈취되었기 때문입니다. 더 유용한 방어책은 아래와 같습니다.

  • 신용 동결. 신용 동결은 무료이며 학생 이름으로 새로운 계좌를 개설하려는 대부분의 시도를 차단합니다. 학부모는 일반적으로 미성년자를 위해 동결을 요청할 수 있으며, 절차에 대해서는 신용평가기관의 방식을 확인하십시오.
  • 피싱에 주의하십시오. 학생의 이름, 생년월일, 학교 상황을 아는 공격자는 매우 설득력 있는 메시지를 작성할 수 있습니다. 시험이나 장학금 또는 침해 사고 자체에 관한 예상치 못한 이메일이나 문자를 의심하고, 링크를 클릭하는 대신 공식 사이트로 직접 접속하십시오.
  • 제공되는 지원을 활용하십시오. 통지서에 모니터링이나 지원이 포함되어 있다면 신속히 가입하고 통지서 사본을 보관하십시오.
  • 계정을 보호하십시오. 이메일과 학교 계정에 고유한 비밀번호와 다중 인증을 사용하십시오. 이메일은 종종 다른 모든 것의 재설정 열쇠이기 때문입니다.
  • 기록을 보관하십시오. 나중에 사기를 이의 제기해야 할 경우를 대비해 날짜, 통지서, 의심스러운 활동을 기록해 두십시오.

실행 가능한 핵심 조치

ETS에서 발생한 캘리포니아 학생 데이터 침해 사고는 학교의 프라이버시 약속의 강도가 가장 취약한 업체에 의해 제한된다는 것을 보여줍니다. 가족들만으로는 이를 해결할 수 없지만, 피해를 줄이고 더 나은 관행을 촉구할 수는 있습니다.

  • 영향을 받은 학생과 가구 내 성인의 신용을 동결하십시오.
  • 시험이나 침해 사고에 관한 예상치 못한 메시지는 공식 채널을 통해 확인될 때까지 의심스러운 것으로 취급하십시오.
  • 학교, 학군, 모든 업체에 학생 데이터가 얼마나 오래 보관되며 누가 접근할 수 있는지 문의하십시오.
  • 조사가 진행됨에 따라 CDE와 ETS의 업데이트를 따르십시오.

교육 기술이 공격받은 것은 이번이 처음이 아니며, Canvas 사건들은 이것이 마지막이 아닐 것임을 시사합니다. 정보를 계속 파악하고 데이터 보관에 관해 직접 질문하는 것은 가족들이 취할 수 있는 가장 실용적인 단계 중 하나입니다.