California Department of Education (CDE) har varslet elever og familier om et databrudd hos en av sine leverandører, Educational Testing Service (ETS). Databrudd i California-elevdata hos ETS er en påminnelse om at personvernet til skolejournaler avhenger av hvert eneste selskap som håndterer dem, ikke bare skolene selv.

CDE distribuerer ETS Notice of Data Breach for å bidra til at berørte personer får informasjon om hendelsen og støtten som er tilgjengelig for dem. Her er det som er rapportert så langt, og hva familier kan gjøre med det.

Hva skjedde hos Educational Testing Service

Ifølge rapporter om hendelsen brukte en uautorisert part en kompromittert innlogging for å nå et filoverføringss nettsted drevet av ETS, den ideelle organisasjonen som driver testing for delstaten. Dekningen indikerer at inntrengeren kopierte elevjournaler mellom 22. mai og 18. september. Det er et vindu på omtrent fire måneder der en enkelt stjålet påloggingsinformasjon ser ut til å ha forblitt brukbar.

Denne detaljen er viktig. Hendelsen ble ikke beskrevet som et sofistikert innbrudd i delstatens egne systemer. Den involverte en innlogging, og et filoverføringss nettsted som brukes til å flytte testdata mellom organisasjoner. Påloggingsinformasjon som blir stjålet, gjenbrukt eller etterlatt uten sterke beskyttelser er blant de vanligste måtene angripere kommer seg inn i systemer, og langvarig tilgang kan forbli uoppdaget uten tett overvåking.

En sikkerhetskommentator sitert i dekningen anslo antallet kompromitterte elevjournaler til syv millioner, og beskrev de alvorlige forretnings- og ansvarsrisikoene en slik kompromittering skaper for organisasjoner som oppbevarer elevdata. Nøyaktige tall kan bli justert etter hvert som etterforskningen fortsetter, så behandle tidlige tall som foreløpige.

Hvilke elevdata ble eksponert og hvem er i risiko

Rapporter sier at den stjålne informasjonen inkluderer navn, fødselsdatoer, funksjonshemmingsstatus og testresultater til elever i California. Hver av disse bærer ulike risikoer:

  • Navn og fødselsdatoer er grunnleggende byggesteiner for identitetstyveri og for overbevisende etterligningsforsøk.
  • Funksjonshemmingsstatus er svært sensitiv. I motsetning til et passord kan den ikke endres, og eksponeringen kan forårsake skade langt utover økonomisk svindel.
  • Testresultater er utdanningsjournaler som familier med rimelighet forventer skal forbli private.

De mest berørte er elever i California hvis testdata gikk gjennom ETS' filoverføringss nettsted, noe som kan omfatte nåværende elever, og potensielt tidligere elever avhengig av hvor lenge journalene ble oppbevart. Unge mennesker er et spesielt attraktivt mål for identitetstyver fordi de ofte ikke har kreditt historikk, så misbruk kan forbli uoppdaget i årevis.

Hvis du mottok et varsel fra CDE eller ETS, ta det på alvor og les det nøye. Varselet er den mest pålitelige kilden for hva som gjelder deg og hvilke tjenester som tilbys.

Hvorfor utdanningsleverandører er et svakt ledd

Skoler og statlige etater driver sjelden alle systemer selv. Testing, læringsplattformer og databehandling er ofte satt ut, noe som betyr at elevinformasjon kopieres inn i systemer drevet av andre organisasjoner. Hver overlevering skaper et nytt sted der data kan eksponeres, og familier har vanligvis ingen innflytelse på hvilke leverandører som brukes.

Dette bruddet passer inn i et mønster. Vi har dekket hvordan et andre Canvas-databrudd forstyrret eksamener ved Penn State og utover, et annet tilfelle der en teknologileverandør som betjener mange institusjoner ble feilpunktet. Når én leverandør betjener millioner av elever, kan én svakhet påvirke dem alle samtidig.

Tre spørsmål er verdt å stille til enhver utdanningsleverandør:

  1. Hvor lenge oppbevares data? Journaler som ikke lenger er nødvendige, bør slettes. Gamle filer som ligger på et overføringss nettsted er en belastning.
  2. Hvordan er tilgangen beskyttet? En enkelt stjålet innlogging bør ikke være nok til å nå millioner av journaler.
  3. Hvor raskt oppdages avvik? Tilgang som vedvarer i måneder tyder på overvåkingshull som er verdt å undersøke.

Hva dette betyr for deg

Hvis du er forelder, foresatt eller elev i California, trenger du ikke å få panikk, men du bør handle. Dataene som angivelig er involvert, er stabil personlig informasjon, så risikoen kan vare lenge etter at nyhetssyklusen har gått videre.

En VPN beskytter ikke mot denne typen brudd, siden dataene ble hentet fra en leverandørs server og ikke fra tilkoblingen din. De mer nyttige forsvarene er de som følger nedenfor.

  • Frys kreditten. En kredittfrys er gratis og blokkerer de fleste forsøk på å åpne nye kontoer i en elevs navn. Foreldre kan vanligvis be om frysing for mindreårige; sjekk kredittbyråenes prosedyrer for fremgangsmåten.
  • Vær oppmerksom på phishing. Angripere som kjenner en elevs navn, fødselsdato og skolekontekst kan skrive svært overbevisende meldinger. Vær skeptisk til uventede e-poster eller tekstmeldinger om testing, stipender eller selve bruddet, og gå direkte til offisielle nettsteder i stedet for å klikke på lenker.
  • Bruk støtten som tilbys. Hvis varselet inkluderer overvåking eller bistand, meld deg på raskt og ta vare på en kopi av varselet.
  • Sikre kontoer. Bruk unike passord og flerfaktorautentisering på e-post og skolekontoer, siden e-post ofte er nøkkelen til å tilbakestille alt annet.
  • Ta vare på dokumentasjon. Noter datoer, varsler og all mistenkelig aktivitet i tilfelle du senere må bestride svindel.

Handlingsrettede råd

Databrudd i California-elevdata hos ETS viser at styrken i en skoles personvernløfter er begrenset av dens svakeste leverandør. Familier kan ikke fikse dette alene, men de kan redusere skaden og presse på for bedre praksis.

  • Frys kreditten for berørte elever og voksne i husstanden.
  • Behandle uventede meldinger om testing eller bruddet som mistenkelige til de er verifisert gjennom offisielle kanaler.
  • Spør skolen, skoledistriktet og enhver leverandør om hvor lenge elevdata oppbevares og hvem som har tilgang til dem.
  • Følg oppdateringer fra CDE og ETS etter hvert som etterforskningen utvikler seg.

Dette er ikke første gang utdanningsteknologi er blitt rammet, og Canvas-hendelsene tyder på at det ikke blir den siste. Å holde seg informert, og stille direkte spørsmål om dataoppbevaring, er et av de mest praktiske tiltakene familier kan ta.