Kaliforniens utbildningsdepartement (CDE) har meddelat elever och familjer om ett dataintrång hos en av sina entreprenörer, Educational Testing Service (ETS). Dataintrånget i Kalifornien hos ETS är en påminnelse om att integriteten för skoluppgifter beror på varje företag som hanterar dem, inte bara på skolorna själva.

CDE distribuerar ETS meddelande om dataintrång för att hjälpa till att säkerställa att drabbade personer får information om incidenten och det stöd som finns tillgängligt för dem. Här är vad som har rapporterats hittills, och vad familjer kan göra åt det.

Vad som hände på Educational Testing Service

Enligt rapporter om incidenten använde en obehörig part en komprometterad inloggning för att nå en filöverföringswebbplats som drivs av ETS, den ideella organisation som ansvarar för provverksamheten för delstaten. Rapporteringen tyder på att inkräktaren kopierade elevuppgifter mellan den 22 maj och den 18 september. Det är ett fönster på ungefär fyra månader där en enda stulen inloggningsuppgift tycks ha förblivit användbar.

Den detaljen spelar roll. Incidenten beskrevs inte som ett sofistikerat intrång i delstatens egna system. Det handlade om en inloggning och en filöverföringswebbplats som används för att flytta provdata mellan organisationer. Inloggningsuppgifter som stjäls, återanvänds eller lämnas utan starkt skydd är bland de vanligaste sätten angripare tar sig in i system, och långvarig åtkomst kan gå obemärkt förbi utan noggrann övervakning.

En säkerhetskommentator som citerades i rapporteringen uppgav antalet komprometterade elevuppgifter till sju miljoner och beskrev de allvarliga affärs- och ansvarsrisker som en sådan kompromiss skapar för organisationer som innehar elevdata. Exakta siffror kan komma att justeras i takt med att utredningen fortskrider, så betrakta tidiga siffror som preliminära.

Vilka elevuppgifter exponerades och vem är i riskzonen

Rapporter säger att den stulna informationen inkluderar namn, födelsedatum, funktionsnedsättningsstatus och provresultat för elever i Kalifornien. Var och en av dessa bär olika risker:

  • Namn och födelsedatum är grundläggande byggstenar för identitetsstöld och för övertygande imitationsförsök.
  • Funktionsnedsättningsstatus är mycket känslig. Till skillnad från ett lösenord kan den inte ändras, och dess exponering kan orsaka skada långt bortom ekonomiskt bedrägeri.
  • Provresultat är utbildningsuppgifter som familjer med rätta förväntar sig ska förbli privata.

De mest drabbade är elever i Kalifornien vars provdata passerade genom ETS filöverföringswebbplats, vilket kan omfatta nuvarande elever och potentiellt tidigare elever beroende på hur länge uppgifterna sparades. Unga människor är ett särskilt attraktivt mål för identitetstjuvar eftersom de ofta saknar kredithistorik, så missbruk kan gå oupptäckt i åratal.

Om du har fått ett meddelande från CDE eller ETS, ta det på allvar och läs det noggrant. Meddelandet är den mest tillförlitliga källan för vad som gäller dig och vilka tjänster som erbjuds.

Varför utbildningsentreprenörer är en svag länk

Skolor och statliga myndigheter driver sällan alla system själva. Provverksamhet, lärplattformar och databehandling läggs ofta ut på entreprenad, vilket innebär att elevinformation kopieras till system som drivs av andra organisationer. Varje överlämning skapar ännu en plats där data kan exponeras, och familjer har vanligtvis inget inflytande över vilka leverantörer som används.

Detta intrång passar in i ett mönster. Vi har rapporterat om hur ett andra Canvas-dataintrång störde prov vid Penn State och längre bort, ännu ett fall där en teknikleverantör som betjänar många institutioner blev punkten där det brast. När en leverantör betjänar miljoner elever kan en enda svaghet påverka alla på en gång.

Tre frågor är värda att ställa till varje utbildningsleverantör:

  1. Hur länge sparas data? Uppgifter som inte längre behövs bör raderas. Gamla filer som ligger kvar på en överföringswebbplats är en belastning.
  2. Hur skyddas åtkomst? En enda stulen inloggning borde inte räcka för att nå miljoner uppgifter.
  3. Hur snabbt upptäcks avvikelser? Åtkomst som består i månader tyder på övervakningsbrister som är värda att undersöka.

Vad detta innebär för dig

Om du är förälder, vårdnadshavare eller elev i Kalifornien behöver du inte få panik, men du bör agera. De uppgifter som rapporteras vara inblandade är stabil personlig information, så risken kan bestå långt efter att nyhetscykeln har gått vidare.

Ett VPN skyddar inte mot den här typen av intrång, eftersom data togs från en leverantörs server snarare än från din anslutning. De mer användbara försvaren är de nedan.

  • Spärra kredit. En kreditspärr är gratis och blockerar de flesta försök att öppna nya konton i en elevs namn. Föräldrar kan i allmänhet begära spärrar för minderåriga; kontrollera kreditbyråernas rutiner för processen.
  • Se upp för nätfiske. Angripare som känner till en elevs namn, födelsedatum och skolkontext kan skriva mycket övertygande meddelanden. Var skeptisk mot oväntade e-postmeddelanden eller sms om prov, stipendier eller själva intrånget, och gå direkt till officiella webbplatser istället för att klicka på länkar.
  • Använd det stöd som erbjuds. Om meddelandet innehåller övervakning eller assistans, registrera dig omgående och behåll en kopia av meddelandet.
  • Säkra konton. Använd unika lösenord och flerfaktorsautentisering på e-post och skolkonton, eftersom e-post ofta är nyckeln till att återställa allt annat.
  • Spara dokumentation. Notera datum, meddelanden och eventuell misstänkt aktivitet ifall du senare behöver bestrida bedrägeri.

Konkreta åtgärder

Dataintrånget i Kalifornien hos ETS visar att styrkan i en skolas integritetslöften begränsas av dess svagaste leverantör. Familjer kan inte åtgärda det på egen hand, men de kan minska skadan och verka för bättre rutiner.

  • Spärra krediten för drabbade elever och vuxna i hushållet.
  • Behandla oväntade meddelanden om prov eller intrånget som misstänkta tills de verifierats via officiella kanaler.
  • Fråga din skola, ditt skoldistrikt och eventuella leverantörer hur länge elevdata sparas och vem som har åtkomst till dem.
  • Följ uppdateringar från CDE och ETS i takt med att utredningen fortskrider.

Detta är inte första gången utbildningsteknik har drabbats, och Canvas-incidenterna tyder på att det inte blir den sista. Att hålla sig informerad och ställa direkta frågor om datalagring är ett av de mest praktiska stegen familjer kan ta.