Datalek bij ETS legt gegevens van 7 miljoen Californische studenten bloot

Het California Department of Education (CDE) heeft studenten en families geïnformeerd over een datalek bij een van zijn contractanten, Educational Testing Service (ETS). Het Californische studentendatalek bij ETS is een herinnering dat de privacy van schoolgegevens afhangt van elk bedrijf dat ermee in aanraking komt, niet alleen van de scholen zelf.

Het CDE verspreidt de ETS Notice of Data Breach om ervoor te zorgen dat getroffenen informatie over het incident en de beschikbare ondersteuning ontvangen. Dit is wat tot nu toe is gemeld, en wat families eraan kunnen doen.

Wat er gebeurde bij Educational Testing Service

Volgens berichten over het incident gebruikte een onbevoegde partij een gecompromitteerde login om toegang te krijgen tot een site voor bestandsoverdracht die door ETS wordt beheerd, de non-profitorganisatie die de tests voor de staat uitvoert. Berichtgeving geeft aan dat de indringer studentengegevens kopieerde tussen 22 mei en 18 september. Dat is een periode van ongeveer vier maanden waarin één gestolen inloggegeven bruikbaar lijkt te zijn gebleven.

Dat detail is belangrijk. Het incident werd niet beschreven als een geavanceerde inbraak in de systemen van de staat zelf. Het betrof een login, en een site voor bestandsoverdracht die wordt gebruikt om testgegevens tussen organisaties te verplaatsen. Inloggegevens die worden gestolen, hergebruikt of zonder sterke beveiliging blijven staan, behoren tot de meest voorkomende manieren waarop aanvallers in systemen komen, en langdurige toegang kan onopgemerkt blijven zonder nauwlettend toezicht.

Eén beveiligingscommentator die in de berichtgeving wordt geciteerd, stelde het aantal gecompromitteerde studentengegevens op zeven miljoen, en beschreef de ernstige zakelijke en aansprakelijkheidsrisico's die een dergelijke compromittering oplevert voor organisaties die studentengegevens beheren. Exacte cijfers kunnen worden bijgesteld naarmate het onderzoek vordert, dus beschouw vroege cijfers als voorlopig.

Welke studentengegevens zijn blootgesteld en wie loopt risico

Berichten zeggen dat de gestolen informatie namen, geboortedata, handicapstatus en testresultaten van Californische studenten omvat. Elk daarvan brengt verschillende risico's met zich mee:

• Namen en geboortedata zijn kernbouwstenen voor identiteitsdiefstal en voor overtuigende pogingen tot impersonatie.
• Handicapstatus is zeer gevoelig. Anders dan een wachtwoord kan deze niet worden gewijzigd, en de blootstelling ervan kan schade veroorzaken die veel verder gaat dan financiële fraude.
• Testresultaten zijn onderwijsgegevens waarvan families redelijkerwijs verwachten dat ze privé blijven.

De meest getroffenen zijn Californische studenten wier testgegevens via de ETS-site voor bestandsoverdracht zijn gegaan, wat huidige studenten kan omvatten, en mogelijk oud-studenten, afhankelijk van hoe lang gegevens werden bewaard. Jongeren zijn een bijzonder aantrekkelijk doelwit voor identiteitsdieven omdat ze vaak geen kredietgeschiedenis hebben, waardoor misbruik jarenlang onopgemerkt kan blijven.

Als je een kennisgeving van het CDE of ETS hebt ontvangen, neem die dan serieus en lees deze aandachtig. De kennisgeving is de meest betrouwbare bron voor wat op jou van toepassing is en welke diensten worden aangeboden.

Waarom onderwijscontractanten een zwakke schakel zijn

Scholen en staatsagentschappen beheren zelden elk systeem zelf. Testen, leerplatforms en gegevensverwerking worden vaak uitbesteed, wat betekent dat studentinformatie wordt gekopieerd naar systemen die door andere organisaties worden beheerd. Elke overdracht creëert weer een plek waar gegevens kunnen worden blootgesteld, en families hebben meestal geen zeggenschap over welke leveranciers worden gebruikt.

Dit datalek past in een patroon. We hebben besproken hoe een tweede Canvas-datalek examens bij Penn State en daarbuiten verstoorde, een ander geval waarbij een technologieleverancier die vele instellingen bedient het zwakke punt werd. Wanneer één leverancier miljoenen studenten bedient, kan één zwakte hen allemaal tegelijk treffen.

Drie vragen zijn het stellen waard aan elke onderwijsleverancier:

1. Hoe lang worden gegevens bewaard? Gegevens die niet meer nodig zijn, moeten worden verwijderd. Oude bestanden die op een site voor bestandsoverdracht staan, zijn een risico.
2. Hoe is toegang beveiligd? Eén gestolen login zou niet genoeg moeten zijn om miljoenen gegevens te bereiken.
3. Hoe snel worden afwijkingen gedetecteerd? Toegang die maanden aanhoudt, wijst op hiaten in monitoring die het onderzoeken waard zijn.

Wat dit voor jou betekent

Als je een ouder, voogd of student in Californië bent, hoef je niet in paniek te raken, maar je moet wel actie ondernemen. De gegevens die naar verluidt betrokken zijn, zijn stabiele persoonlijke informatie, dus het risico kan nog lang nadat de nieuwscyclus voorbij is, voortduren.

Een VPN beschermt niet tegen dit soort datalek, omdat de gegevens van de server van een leverancier zijn gestolen en niet van jouw verbinding. De nuttigere verdedigingen zijn de onderstaande.

• Bevries krediet. Een kredietbevriezing is gratis en blokkeert de meeste pogingen om nieuwe accounts op naam van een student te openen. Ouders kunnen over het algemeen bevriezingen aanvragen voor minderjarigen; raadpleeg de procedures van de kredietbureaus voor het proces.
• Let op phishing. Aanvallers die de naam, geboortedatum en schoolcontext van een student kennen, kunnen zeer overtuigende berichten schrijven. Wees sceptisch over onverwachte e-mails of sms'jes over testen, beurzen of het datalek zelf, en ga rechtstreeks naar officiële sites in plaats van op links te klikken.
• Gebruik de geboden ondersteuning. Als de kennisgeving monitoring of hulp omvat, meld je dan snel aan en bewaar een kopie van de kennisgeving.
• Beveilig accounts. Gebruik unieke wachtwoorden en multifactorauthenticatie voor e-mail en schoolaccounts, aangezien e-mail vaak de sleutel is tot het resetten van al het andere.
• Houd gegevens bij. Noteer datums, kennisgevingen en eventuele verdachte activiteit voor het geval je later fraude moet betwisten.

Praktische conclusies

Het Californische studentendatalek bij ETS toont aan dat de kracht van de privacybeloften van een school wordt beperkt door zijn zwakste leverancier. Families kunnen dat niet alleen oplossen, maar ze kunnen de schade beperken en aandringen op betere praktijken.

• Bevries krediet voor getroffen studenten en volwassenen in het huishouden.
• Behandel onverwachte berichten over testen of het datalek als verdacht tot ze via officiële kanalen zijn geverifieerd.
• Vraag je school, district en elke leverancier hoe lang studentgegevens worden bewaard en wie er toegang toe heeft.
• Volg updates van het CDE en ETS naarmate het onderzoek vordert.

Dit is niet de eerste keer dat onderwijstechnologie is getroffen, en de Canvas-incidenten suggereren dat het niet de laatste keer zal zijn. Op de hoogte blijven, en directe vragen stellen over gegevensbewaring, is een van de meest praktische stappen die families kunnen nemen.