Департамент освіти Каліфорнії (CDE) повідомив студентів та їхні родини про витік даних у одного зі своїх підрядників — Educational Testing Service (ETS). Витік даних студентів Каліфорнії в ETS — це нагадування про те, що конфіденційність шкільних записів залежить від кожної компанії, яка має до них доступ, а не лише від самих шкіл.

CDE розповсюджує Повідомлення ETS про витік даних, щоб допомогти постраждалим отримати інформацію про інцидент і доступну їм підтримку. Ось що наразі відомо та що можуть зробити родини.

Що сталося в Educational Testing Service

Згідно з повідомленнями про інцидент, несанкціонована сторона використала скомпрометований логін для доступу до сайту передачі файлів, який керується ETS — неприбутковою організацією, що проводить тестування для штату. У публікаціях зазначається, що зловмисник скопіював записи студентів між 22 травня та 18 вересня. Це проміжок приблизно в чотири місяці, протягом якого один викрадений обліковий запис, схоже, залишався дієвим.

Ця деталь важлива. Інцидент не описувався як складна атака на власні системи штату. Він стосувався логіна та сайту передачі файлів, що використовується для переміщення тестових даних між організаціями. Викрадені, повторно використані або залишені без надійного захисту облікові дані є одними з найпоширеніших способів, якими зловмисники потрапляють у системи, а довготривалий доступ може залишатися непоміченим без ретельного моніторингу.

Один коментатор з питань безпеки, цитований у публікаціях, оцінив кількість скомпрометованих записів студентів у сім мільйонів і описав серйозні бізнес- та юридичні ризики, які така компрометація створює для організацій, що зберігають дані студентів. Точні цифри можуть бути уточнені в міру продовження розслідування, тому ставтеся до ранніх чисел як до попередніх.

Які дані студентів було розкрито і хто в зоні ризику

Повідомляється, що викрадена інформація включає імена, дати народження, статус інвалідності та результати тестів студентів Каліфорнії. Кожен із цих елементів несе різні ризики:

  • Імена та дати народження є основними будівельними блоками для крадіжки особистих даних і для переконливих спроб видати себе за іншу особу.
  • Статус інвалідності є надзвичайно чутливою інформацією. На відміну від пароля, його не можна змінити, і його розкриття може завдати шкоди далеко за межі фінансового шахрайства.
  • Результати тестів є освітніми записами, які родини обґрунтовано очікують зберегти конфіденційними.

Найбільше постраждали студенти Каліфорнії, чиї тестові дані проходили через сайт передачі файлів ETS, що може включати нинішніх студентів і, потенційно, колишніх студентів, залежно від того, як довго зберігалися записи. Молоді люди є особливо привабливою мішенню для крадіїв особистих даних, оскільки вони часто не мають кредитної історії, тому зловживання може залишатися непоміченим протягом років.

Якщо ви отримали повідомлення від CDE або ETS, поставтеся до нього серйозно та уважно прочитайте. Повідомлення є найнадійнішим джерелом інформації про те, що стосується вас і які послуги пропонуються.

Чому освітні підрядники є слабкою ланкою

Школи та державні установи рідко керують усіма системами самостійно. Тестування, навчальні платформи та обробка даних часто передаються на аутсорсинг, що означає, що інформація студентів копіюється в системи, якими керують інші організації. Кожна передача створює ще одне місце, де дані можуть бути розкриті, і родини зазвичай не мають права голосу щодо того, які постачальники використовуються.

Цей витік вписується в закономірність. Ми висвітлювали, як другий витік даних Canvas порушив іспити в Penn State та за його межами, ще один випадок, коли технологічний постачальник, що обслуговує багато установ, став точкою відмови. Коли один постачальник обслуговує мільйони студентів, одна вразливість може вплинути на всіх них одночасно.

Варто поставити три запитання будь-якому освітньому постачальнику:

  1. Як довго зберігаються дані? Записи, які більше не потрібні, слід видаляти. Старі файли, що залишаються на сайті передачі, є відповідальністю.
  2. Як захищений доступ? Одного викраденого логіна не повинно бути достатньо для доступу до мільйонів записів.
  3. Як швидко виявляються аномалії? Доступ, що зберігається протягом місяців, свідчить про прогалини в моніторингу, які варто вивчити.

Що це означає для вас

Якщо ви є батьком, опікуном або студентом у Каліфорнії, вам не потрібно панікувати, але слід діяти. Дані, про які повідомляється, є стабільною особистою інформацією, тому ризик може зберігатися довго після того, як новинний цикл завершиться.

VPN не захищає від такого роду витоку, оскільки дані були взяті з сервера постачальника, а не з вашого з'єднання. Більш корисними є засоби захисту, наведені нижче.

  • Заморозьте кредит. Заморожування кредиту є безкоштовним і блокує більшість спроб відкрити нові рахунки на ім'я студента. Батьки зазвичай можуть подати запит на заморожування для неповнолітніх; перевірте процедури кредитних бюро щодо цього процесу.
  • Стежте за фішингом. Зловмисники, які знають ім'я студента, дату народження та контекст школи, можуть писати дуже переконливі повідомлення. Будьте скептичні щодо несподіваних електронних листів або текстових повідомлень про тестування, стипендії або сам витік, і переходьте безпосередньо на офіційні сайти замість натискання посилань.
  • Скористайтеся запропонованою підтримкою. Якщо повідомлення включає моніторинг або допомогу, зареєструйтеся своєчасно та збережіть копію повідомлення.
  • Захистіть облікові записи. Використовуйте унікальні паролі та багатофакторну автентифікацію для електронної пошти та шкільних облікових записів, оскільки електронна пошта часто є ключем до скидання всього іншого.
  • Зберігайте записи. Занотовуйте дати, повідомлення та будь-яку підозрілу активність на випадок, якщо вам знадобиться оскаржити шахрайство пізніше.

Практичні висновки

Витік даних студентів Каліфорнії в ETS показує, що сила обіцянок школи щодо конфіденційності обмежена її найслабшим постачальником. Родини не можуть виправити це самостійно, але вони можуть зменшити шкоду та вимагати кращих практик.

  • Заморозьте кредит для постраждалих студентів і дорослих у домогосподарстві.
  • Ставтеся до несподіваних повідомлень про тестування або витік як до підозрілих, доки їх не буде підтверджено через офіційні канали.
  • Запитайте свою школу, округ і будь-якого постачальника, як довго зберігаються дані студентів і хто має до них доступ.
  • Слідкуйте за оновленнями від CDE та ETS у міру розвитку розслідування.

Це не перший випадок, коли освітні технології зазнають атаки, і інциденти з Canvas свідчать, що це не останній. Бути поінформованим і ставити прямі запитання про збереження даних — один із найпрактичніших кроків, які можуть зробити родини.