Департамент образования Калифорнии (CDE) уведомил учащихся и их семьи об утечке данных у одного из своих подрядчиков — Educational Testing Service (ETS). Утечка данных калифорнийских учащихся в ETS напоминает о том, что конфиденциальность школьных записей зависит от каждой компании, которая имеет к ним доступ, а не только от самих школ.

CDE распространяет Уведомление ETS об утечке данных, чтобы помочь обеспечить затронутым людям получение информации об инциденте и доступной им поддержке. Вот что известно на данный момент и что могут сделать семьи.

Что произошло в Educational Testing Service

Согласно сообщениям об инциденте, несанкционированная сторона использовала скомпрометированные учетные данные для входа, чтобы получить доступ к сайту передачи файлов, управляемому ETS — некоммерческой организацией, которая проводит тестирование для штата. В публикациях указывается, что злоумышленник скопировал записи учащихся в период с 22 мая по 18 сентября. Это окно составляет примерно четыре месяца, в течение которых, судя по всему, один украденный учетный данные оставался действенным.

Эта деталь важна. Инцидент не описывался как изощренный взлом собственных систем штата. Он был связан с учетными данными для входа и сайтом передачи файлов, используемым для перемещения данных тестирования между организациями. Украденные, повторно используемые или оставленные без надежной защиты учетные данные — один из самых распространенных способов, которыми злоумышленники проникают в системы, а долгосрочный доступ может оставаться незамеченным без тщательного мониторинга.

Один комментатор по вопросам безопасности, процитированный в публикациях, оценил число скомпрометированных записей учащихся в семь миллионов и описал серьезные бизнес-риски и риски ответственности, которые такая компрометация создает для организаций, хранящих данные учащихся. Точные цифры могут быть уточнены по мере продолжения расследования, поэтому ранние числа следует считать предварительными.

Какие данные учащихся были раскрыты и кто подвержен риску

Сообщается, что украденная информация включает имена, даты рождения, статус инвалидности и результаты тестов калифорнийских учащихся. Каждый из этих элементов несет разные риски:

  • Имена и даты рождения — основные строительные блоки для кражи личности и убедительных попыток выдать себя за другое лицо.
  • Статус инвалидности крайне чувствителен. В отличие от пароля, его нельзя изменить, и его раскрытие может причинить вред, выходящий далеко за рамки финансового мошенничества.
  • Результаты тестов — это образовательные записи, которые семьи обоснованно ожидают сохранить конфиденциальными.

Наиболее затронуты калифорнийские учащиеся, чьи данные тестирования проходили через сайт передачи файлов ETS, что может включать нынешних учащихся и, возможно, бывших учащихся в зависимости от того, как долго хранились записи. Молодые люди — особенно привлекательная цель для мошенников, крадущих личность, поскольку у них часто нет кредитной истории, поэтому злоупотребление может оставаться незамеченным годами.

Если вы получили уведомление от CDE или ETS, отнеситесь к нему серьезно и внимательно прочитайте. Уведомление — самый надежный источник информации о том, что касается вас и какие услуги предлагаются.

Почему образовательные подрядчики — слабое звено

Школы и государственные agencies редко управляют всеми системами самостоятельно. Тестирование, учебные платформы и обработка данных часто передаются на аутсорсинг, что означает, что информация об учащихся копируется в системы, управляемые другими организациями. Каждая передача создает еще одно место, где данные могут быть раскрыты, и семьи обычно не имеют права голоса в отношении того, какие поставщики используются.

Эта утечка вписывается в закономерность. Мы рассказывали о том, как вторая утечка данных Canvas нарушила экзамены в Penn State и за его пределами, еще один случай, когда технологический провайдер, обслуживающий множество учреждений, стал точкой отказа. Когда один поставщик обслуживает миллионы учащихся, одна уязвимость может затронуть всех их сразу.

Три вопроса стоит задать любому образовательному поставщику:

  1. Как долго хранятся данные? Записи, которые больше не нужны, должны быть удалены. Старые файлы, находящиеся на сайте передачи, — это ответственность.
  2. Как защищен доступ? Одних украденных учетных данных для входа не должно быть достаточно, чтобы получить доступ к миллионам записей.
  3. Как быстро обнаруживаются аномалии? Доступ, сохраняющийся месяцами, указывает на пробелы в мониторинге, которые стоит изучить.

Что это значит для вас

Если вы родитель, опекун или учащийся в Калифорнии, вам не нужно паниковать, но следует действовать. Данные, о которых сообщается, являются стабильной личной информацией, поэтому риск может сохраняться долго после того, как новостной цикл завершится.

VPN не защищает от такого рода утечек, поскольку данные были взяты с сервера поставщика, а не из вашего соединения. Более полезные средства защиты перечислены ниже.

  • Заморозьте кредит. Заморозка кредита бесплатна и блокирует большинство попыток открыть новые счета на имя учащегося. Родители обычно могут запросить заморозку для несовершеннолетних; ознакомьтесь с процедурами кредитных бюро.
  • Следите за фишингом. Злоумышленники, которые знают имя учащегося, дату рождения и контекст школы, могут писать очень убедительные сообщения. Относитесь скептически к неожиданным электронным письмам или текстовым сообщениям о тестировании, стипендиях или самой утечке и переходите непосредственно на официальные сайты, а не нажимайте на ссылки.
  • Воспользуйтесь предложенной поддержкой. Если уведомление включает мониторинг или помощь, зарегистрируйтесь promptly и сохраните копию уведомления.
  • Защитите учетные записи. Используйте уникальные пароли и многофакторную аутентификацию для электронной почты и школьных учетных записей, поскольку электронная почта часто является ключом к сбросу всего остального.
  • Ведите записи. Отмечайте даты, уведомления и любую подозрительную активность на случай, если вам придется оспаривать мошенничество позже.

Практические выводы

Утечка данных калифорнийских учащихся в ETS показывает, что сила обещаний школы в отношении конфиденциальности ограничена ее самым слабым поставщиком. Семьи не могут исправить это в одиночку, но они могут уменьшить ущерб и требовать лучших практик.

  • Заморозьте кредит для затронутых учащихся и взрослых в домохозяйстве.
  • Относитесь к неожиданным сообщениям о тестировании или утечке как к подозрительным, пока они не подтверждены через официальные каналы.
  • Спросите свою школу, округ и любого поставщика, как долго хранятся данные учащихся и у кого есть к ним доступ.
  • Следите за обновлениями от CDE и ETS по мере развития расследования.

Это не первый раз, когда образовательные технологии подвергаются атаке, и инциденты с Canvas позволяют предположить, что это не последний. Оставаться информированным и задавать прямые вопросы о хранении данных — один из самых практичных шагов, которые могут предпринять семьи.