กรมการศึกษาของรัฐแคลิฟอร์เนีย (CDE) ได้แจ้งเตือนนักเรียนและครอบครัวเกี่ยวกับการละเมิดข้อมูลที่ผู้รับจ้างรายหนึ่งของหน่วยงาน คือ Educational Testing Service (ETS) การละเมิดข้อมูลนักเรียนแคลิฟอร์เนียที่ ETS แห่งนี้เป็นเครื่องเตือนใจว่าความเป็นส่วนตัวของบันทึกโรงเรียนนั้นขึ้นอยู่กับทุกบริษัทที่เกี่ยวข้องกับข้อมูลเหล่านั้น ไม่ใช่เพียงโรงเรียนเท่านั้น
CDE กำลังเผยแพร่ประกาศการละเมิดข้อมูลของ ETS เพื่อช่วยให้แน่ใจว่าผู้ที่ได้รับผลกระทบได้รับข้อมูลเกี่ยวกับเหตุการณ์และความช่วยเหลือที่มีให้ นี่คือสิ่งที่ได้รับรายงานจนถึงขณะนี้ และสิ่งที่ครอบครัวสามารถทำได้เกี่ยวกับเรื่องนี้
เกิดอะไรขึ้นที่ Educational Testing Service
ตามรายงานเกี่ยวกับเหตุการณ์นี้ บุคคลที่ไม่ได้รับอนุญาตได้ใช้ข้อมูลเข้าสู่ระบบที่ถูกบุกรุกเพื่อเข้าถึงไซต์ถ่ายโอนไฟล์ที่ดำเนินการโดย ETS ซึ่งเป็นองค์กรไม่แสวงหากำไรที่ดำเนินการทดสอบให้กับรัฐ การรายงานระบุว่าผู้บุกรุกได้คัดลอกบันทึกนักเรียนระหว่างวันที่ 22 พฤษภาคมถึง 18 กันยายน นั่นคือช่วงเวลาประมาณสี่เดือนที่ข้อมูลรับรองที่ถูกขโมยเพียงชุดเดียวดูเหมือนจะยังคงใช้งานได้
รายละเอียดนั้นสำคัญ เหตุการณ์นี้ไม่ได้ถูกอธิบายว่าเป็นการบุกรุกเข้าสู่ระบบของรัฐเองอย่างซับซ้อน แต่เกี่ยวข้องกับข้อมูลเข้าสู่ระบบ และไซต์ถ่ายโอนไฟล์ที่ใช้ในการเคลื่อนย้ายข้อมูลการทดสอบระหว่างองค์กร ข้อมูลรับรองที่ถูกขโมย ถูกนำกลับมาใช้ซ้ำ หรือถูกทิ้งไว้โดยไม่มีการป้องกันที่แข็งแกร่งเป็นหนึ่งในวิธีที่ attackers ใช้เข้าสู่ระบบบ่อยที่สุด และการเข้าถึงที่คงอยู่ยาวนานอาจไม่ถูกตรวจพบหากขาดการตรวจสอบอย่างใกล้ชิด
นักวิจารณ์ด้านความปลอดภัยท่านหนึ่งที่ถูกอ้างถึงในรายงานระบุจำนวนบันทึกนักเรียนที่ถูกบุกรุกไว้ที่เจ็ดล้านรายการ และอธิบายถึงความเสี่ยงทางธุรกิจและความรับผิดที่ร้ายแรงซึ่งการบุกรุกดังกล่าวสร้างขึ้นสำหรับองค์กรที่ถือครองข้อมูลนักเรียน ตัวเลขที่แน่นอนอาจถูกปรับปรุงในขณะที่การสอบสวนดำเนินต่อไป ดังนั้นควรถือว่าตัวเลขเบื้องต้นเป็นเพียงการประมาณการ
ข้อมูลนักเรียนใดถูกเปิดเผย และใครบ้างที่เสี่ยง
รายงานระบุว่าข้อมูลที่ถูกขโมยรวมถึงชื่อ วันเกิด สถานะความพิการ และผลการทดสอบของนักเรียนในแคลิฟอร์เนีย แต่ละอย่างมีความเสี่ยงที่แตกต่างกัน:
- ชื่อและวันเกิด เป็นองค์ประกอบหลักสำหรับการโจรกรรมอัตลักษณ์และการพยายามแอบอ้างบุคคลที่แนบเนียน
- สถานะความพิการ เป็นข้อมูลที่มีความอ่อนไหวสูง ไม่เหมือนรหัสผ่าน มันไม่สามารถเปลี่ยนแปลงได้ และการเปิดเผยอาจก่อความเสียหายได้ไกลเกินกว่าการฉ้อโกงทางการเงิน
- ผลการทดสอบ เป็นบันทึกทางการศึกษาที่ครอบครัวคาดหวังอย่างสมเหตุสมผลว่าจะเป็นความลับ
ผู้ที่ได้รับผลกระทบมากที่สุดคือนักเรียนในแคลิฟอร์เนียที่ข้อมูลการทดสอบผ่านไซต์ถ่ายโอนไฟล์ของ ETS ซึ่งอาจรวมถึงนักเรียนปัจจุบัน และอาจรวมถึงอดีตนักเรียนด้วย ขึ้นอยู่กับระยะเวลาที่เก็บรักษาบันทึกไว้ คนหนุ่มสาวเป็นเป้าหมายที่น่าสนใจเป็นพิเศษสำหรับขโมยอัตลักษณ์ เพราะพวกเขามักไม่มีประวัติเครดิต ดังนั้นการใช้งานในทางที่ผิดอาจไม่ถูกตรวจพบเป็นเวลาหลายปี
หากคุณได้รับประกาศจาก CDE หรือ ETS โปรดให้ความสำคัญและอ่านอย่างละเอียด ประกาศนั้นเป็นแหล่งข้อมูลที่เชื่อถือได้มากที่สุดสำหรับสิ่งที่ใช้กับคุณและบริการที่เสนอให้
ทำไมผู้รับจ้างด้านการศึกษาจึงเป็นจุดอ่อน
โรงเรียนและหน่วยงานของรัฐแทบจะไม่ได้ดำเนินการทุกระบบด้วยตนเอง การทดสอบ แพลตฟอร์มการเรียนรู้ และการประมวลผลข้อมูลมักถูกจ้างภายนอก ซึ่งหมายความว่าข้อมูลนักเรียนถูกคัดลอกไปยังระบบที่ดำเนินการโดยองค์กรอื่น การส่งต่อแต่ละครั้งสร้างสถานที่อีกแห่งที่ข้อมูลอาจถูกเปิดเผย และครอบครัวมักไม่มีสิทธิ์เลือกว่าจะใช้ผู้ขายรายใด
การละเมิดนี้เข้ากับรูปแบบที่เคยเกิดขึ้น เราได้รายงานเกี่ยวกับ การละเมิดข้อมูล Canvas ครั้งที่สองที่ขัดขวางการสอบที่ Penn State และที่อื่นๆ ซึ่งเป็นอีกกรณีที่ผู้ให้บริการเทคโนโลยีที่ให้บริการสถาบันจำนวนมากกลายเป็นจุดล้มเหลว เมื่อผู้ขายรายเดียวให้บริการนักเรียนหลายล้านคน จุดอ่อนเพียงจุดเดียวสามารถส่งผลกระทบต่อทุกคนได้ในคราวเดียว
มีสามคำถามที่ควรถามผู้ขายด้านการศึกษา:
- เก็บข้อมูลไว้นานเท่าใด? บันทึกที่ไม่จำเป็นแล้วควรถูกลบ ไฟล์เก่าที่ค้างอยู่บนไซต์ถ่ายโอนเป็นความเสี่ยง
- การเข้าถึงได้รับการป้องกันอย่างไร? ข้อมูลเข้าสู่ระบบที่ถูกขโมยเพียงชุดเดียวไม่ควรเพียงพอที่จะเข้าถึงบันทึกหลายล้านรายการ
- ตรวจพบความผิดปกติได้เร็วเพียงใด? การเข้าถึงที่คงอยู่เป็นเวลาหลายเดือนบ่งชี้ถึงช่องว่างในการตรวจสอบที่ควรค่าแก่การพิจารณา
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
หากคุณเป็นผู้ปกครอง ผู้ดูแล หรือนักเรียนในแคลิฟอร์เนีย คุณไม่จำเป็นต้องตื่นตระหนก แต่คุณควรลงมือทำ ข้อมูลที่ถูกรายงานว่าเกี่ยวข้องเป็นข้อมูลส่วนบุคคลที่ไม่เปลี่ยนแปลง ดังนั้นความเสี่ยงสามารถคงอยู่ได้นานหลังจากที่ข่าวซาลง
VPN ไม่ได้ป้องกันการละเมิดประเภทนี้ เนื่องจากข้อมูลถูกนำไปจากเซิร์ฟเวอร์ของผู้ขาย ไม่ใช่จากการเชื่อมต่อของคุณ การป้องกันที่มีประโยชน์กว่าคือสิ่งที่ระบุไว้ด้านล่าง
- อายัดเครดิต การอายัดเครดิตนั้นฟรีและบล็อกความพยายามส่วนใหญ่ในการเปิดบัญชีใหม่ในชื่อของนักเรียน ผู้ปกครองโดยทั่วไปสามารถขออายัดเครดิตให้ผู้เยาว์ได้ ตรวจสอบขั้นตอนของสำนักงานเครดิตสำหรับกระบวนการนี้
- ระวังฟิชชิง ผู้โจมตีที่รู้ชื่อนักเรียน วันเกิด และบริบทของโรงเรียนสามารถเขียนข้อความที่โน้มน้าวใจได้อย่างมาก จงระแวงอีเมลหรือข้อความที่ไม่คาดคิดเกี่ยวกับการทดสอบ ทุนการศึกษา หรือการละเมิดข้อมูล本身 และไปที่เว็บไซต์ทางการโดยตรงแทนการคลิกลิงก์
- ใช้ความช่วยเหลือที่เสนอให้ หากประกาศรวมถึงการตรวจสอบหรือความช่วยเหลือ ให้ลงทะเบียนโดยเร็วและเก็บสำเนาประกาศไว้
- รักษาความปลอดภัยบัญชี ใช้รหัสผ่านที่ไม่ซ้ำกันและการยืนยันตัวตนหลายปัจจัยกับอีเมลและบัญชีโรงเรียน เนื่องจากอีเมลมักเป็นกุญแจสำคัญในการรีเซ็ตทุกอย่างอื่น
- เก็บบันทึก จดบันทึกวันที่ ประกาศ และกิจกรรมที่น่าสงสัยใดๆ ในกรณีที่คุณต้องโต้แย้งการฉ้อโกงในภายหลัง
ประเด็นที่นำไปปฏิบัติได้
การละเมิดข้อมูลนักเรียนแคลิฟอร์เนียที่ ETS แสดงให้เห็นว่าความแข็งแกร่งของคำมั่นด้านความเป็นส่วนตัวของโรงเรียนนั้นถูกจำกัดด้วยผู้ขายที่อ่อนแอที่สุดของโรงเรียน ครอบครัวไม่สามารถแก้ไขเรื่องนี้ได้ด้วยตนเอง แต่พวกเขาสามารถลดความเสียหายและกดดันให้มีแนวปฏิบัติที่ดีขึ้นได้
- อายัดเครดิตสำหรับนักเรียนที่ได้รับผลกระทบและผู้ใหญ่ในครัวเรือน
- ถือว่าข้อความที่ไม่คาดคิดเกี่ยวกับการทดสอบหรือการละเมิดข้อมูลเป็นที่น่าสงสัยจนกว่าจะตรวจสอบผ่านช่องทางทางการ
- ถามโรงเรียน เขตการศึกษา และผู้ขายรายใดก็ตามว่าเก็บข้อมูลนักเรียนไว้นานเท่าใดและใครเข้าถึงได้
- ติดตามข่าวสารจาก CDE และ ETS ในขณะที่การสอบสวนดำเนินต่อไป
นี่ไม่ใช่ครั้งแรกที่เทคโนโลยีการศึกษาได้รับผลกระทบ และเหตุการณ์ Canvas บ่งชี้ว่าจะไม่ใช่ครั้งสุดท้าย การติดตามข้อมูลและถามคำถามโดยตรงเกี่ยวกับการเก็บรักษาข้อมูลเป็นหนึ่งในขั้นตอนที่ปฏิบัติได้จริงที่สุดที่ครอบครัวสามารถทำได้
