Departamentul de Educație din California (CDE) a notificat elevii și familiile cu privire la o breșă de date la unul dintre contractorii săi, Educational Testing Service (ETS). Breșa de date privind elevii din California la ETS este un memento că confidențialitatea dosarelor școlare depinde de fiecare companie care intră în contact cu acestea, nu doar de școlile în sine.

CDE distribuie Notificarea privind breșa de date de la ETS pentru a ajuta la asigurarea că persoanele afectate primesc informații despre incident și sprijinul disponibil pentru ele. Iată ce s-a raportat până acum și ce pot face familiile în legătură cu aceasta.

Ce s-a întâmplat la Educational Testing Service

Conform rapoartelor despre incident, o parte neautorizată a folosit un login compromis pentru a accesa un site de transfer de fișiere operat de ETS, organizația nonprofit care administrează testarea pentru stat. Relatările indică faptul că intrusul a copiat dosarele elevilor între 22 mai și 18 septembrie. Aceasta este o fereastră de aproximativ patru luni în care o singură credențială furată pare să fi rămas utilă.

Acest detaliu contează. Incidentul nu a fost descris ca o spargere sofisticată în sistemele proprii ale statului. A implicat un login și un site de transfer de fișiere folosit pentru a muta datele de testare între organizații. Credențialele care sunt furate, reutilizate sau lăsate fără protecții puternice sunt printre cele mai comune modalități prin care atacatorii pătrund în sisteme, iar accesul de lungă durată poate trece neobservat fără o monitorizare atentă.

Un comentator de securitate citat în relatări a estimat numărul de dosare compromise ale elevilor la șapte milioane și a descris riscurile grave de afaceri și de răspundere pe care o astfel de compromitere le creează pentru organizațiile care dețin date ale elevilor. Cifrele exacte pot fi rafinate pe măsură ce investigația continuă, așa că tratați cifrele timpurii ca fiind preliminare.

Ce date ale elevilor au fost expuse și cine este în pericol

Relatările spun că informațiile furate includ nume, date de naștere, statutul de dizabilitate și rezultatele testelor elevilor din California. Fiecare dintre acestea comportă riscuri diferite:

  • Numele și datele de naștere sunt elemente de bază pentru furtul de identitate și pentru încercările de impersonare convingătoare.
  • Statutul de dizabilitate este extrem de sensibil. Spre deosebire de o parolă, nu poate fi schimbat, iar expunerea sa poate cauza prejudicii mult dincolo de frauda financiară.
  • Rezultatele testelor sunt dosare educaționale despre care familiile se așteaptă în mod rezonabil să rămână private.

Persoanele cele mai afectate sunt elevii din California ale căror date de testare au trecut prin site-ul de transfer de fișiere ETS, ceea ce ar putea include elevi actuali și, potențial, foști elevi, în funcție de cât timp au fost păstrate dosarele. Tinerii sunt o țintă deosebit de atractivă pentru hoții de identitate, deoarece adesea nu au istoric de credit, astfel încât utilizarea abuzivă poate trece nedetectată ani de zile.

Dacă ați primit o notificare de la CDE sau ETS, luați-o în serios și citiți-o cu atenție. Notificarea este cea mai fiabilă sursă pentru ceea ce vi se aplică și ce servicii sunt oferite.

De ce contractorii din educație sunt o verigă slabă

Școlile și agențiile de stat rareori administrează ele însele fiecare sistem. Testarea, platformele de învățare și procesarea datelor sunt adesea externalizate, ceea ce înseamnă că informațiile elevilor sunt copiate în sisteme administrate de alte organizații. Fiecare transfer creează un alt loc unde datele pot fi expuse, iar familiile de obicei nu au niciun cuvânt de spus cu privire la ce furnizori sunt folosiți.

Această breșă se încadrează într-un tipar. Am relatat despre modul în care o a doua breșă de date Canvas a perturbat examenele la Penn State și nu numai, un alt caz în care un furnizor de tehnologie care servește multe instituții a devenit punctul de eșec. Când un singur furnizor servește milioane de elevi, o singură vulnerabilitate îi poate afecta pe toți deodată.

Merită adresate trei întrebări oricărui furnizor din educație:

  1. Cât timp sunt păstrate datele? Dosarele care nu mai sunt necesare ar trebui șterse. Fișierele vechi care stau pe un site de transfer sunt o răspundere.
  2. Cum este protejat accesul? Un singur login furat nu ar trebui să fie suficient pentru a accesa milioane de dosare.
  3. Cât de repede sunt detectate anomaliile? Accesul care persistă luni de zile sugerează lacune de monitorizare care merită examinate.

Ce înseamnă acest lucru pentru dumneavoastră

Dacă sunteți părinte, tutore sau elev în California, nu trebuie să intrați în panică, dar ar trebui să acționați. Datele implicate, conform relatărilor, sunt informații personale stabile, astfel încât riscul poate dura mult timp după ce ciclul de știri se încheie.

Un VPN nu protejează împotriva acestui tip de breșă, deoarece datele au fost preluate de pe serverul unui furnizor, nu din conexiunea dumneavoastră. Apărările mai utile sunt cele de mai jos.

  • Blocați creditul. O blocare a creditului este gratuită și blochează majoritatea încercărilor de a deschide conturi noi pe numele unui elev. Părinții pot solicita în general blocări pentru minori; verificați procedurile birourilor de credit pentru proces.
  • Fiți atenți la phishing. Atacatorii care cunosc numele unui elev, data nașterii și contextul școlar pot scrie mesaje foarte convingătoare. Fiți sceptici față de e-mailurile sau mesajele text neașteptate despre testare, burse sau chiar despre breșă, și accesați direct site-urile oficiale în loc să dați clic pe linkuri.
  • Folosiți sprijinul oferit. Dacă notificarea include monitorizare sau asistență, înscrieți-vă prompt și păstrați o copie a notificării.
  • Securizați conturile. Folosiți parole unice și autentificare multi-factor pentru e-mail și conturile școlare, deoarece e-mailul este adesea cheia pentru resetarea tuturor celorlalte.
  • Păstrați evidențe. Notați datele, notificările și orice activitate suspectă în caz că trebuie să contestați o fraudă mai târziu.

Concluzii acționabile

Breșa de date privind elevii din California la ETS arată că puterea promisiunilor de confidențialitate ale unei școli este limitată de cel mai slab furnizor al său. Familiile nu pot rezolva acest lucru singure, dar pot reduce daunele și pot milita pentru practici mai bune.

  • Blocați creditul pentru elevii afectați și adulții din gospodărie.
  • Tratați mesajele neașteptate despre testare sau despre breșă ca suspecte până când sunt verificate prin canale oficiale.
  • Întrebați școala, districtul și orice furnizor cât timp sunt păstrate datele elevilor și cine are acces la ele.
  • Urmăriți actualizările de la CDE și ETS pe măsură ce investigația avansează.

Aceasta nu este prima dată când tehnologia educațională este lovită, iar incidentele Canvas sugerează că nu va fi ultima. A rămâne informat și a pune întrebări directe despre păstrarea datelor este unul dintre cei mai practici pași pe care îi pot face familiile.