Sở Giáo dục California (CDE) đã thông báo cho học sinh và gia đình về một vụ vi phạm dữ liệu tại một trong các nhà thầu của mình, Educational Testing Service (ETS). Vụ vi phạm dữ liệu học sinh California tại ETS là lời nhắc nhở rằng quyền riêng tư của hồ sơ học đường phụ thuộc vào mọi công ty có liên quan đến chúng, chứ không chỉ vào bản thân các trường học.
CDE đang phân phát Thông báo Vi phạm Dữ liệu của ETS để giúp đảm bảo những người bị ảnh hưởng nhận được thông tin về sự cố và sự hỗ trợ dành cho họ. Dưới đây là những gì đã được báo cáo cho đến nay, và những gì các gia đình có thể làm về việc này.
Điều gì đã xảy ra tại Educational Testing Service
Theo các báo cáo về sự cố, một bên không được phép đã sử dụng thông tin đăng nhập bị xâm phạm để truy cập vào một trang truyền tệp do ETS vận hành, tổ chức phi lợi nhuận thực hiện việc kiểm tra cho bang. Các bài đưa tin cho thấy kẻ xâm nhập đã sao chép hồ sơ học sinh trong khoảng thời gian từ ngày 22 tháng 5 đến ngày 18 tháng 9. Đó là khoảng thời gian gần bốn tháng mà trong đó một thông tin đăng nhập bị đánh cắp duy nhất dường như vẫn còn hữu dụng.
Chi tiết đó quan trọng. Sự cố không được mô tả như một vụ đột nhập tinh vi vào chính các hệ thống của bang. Nó liên quan đến một thông tin đăng nhập, và một trang truyền tệp được sử dụng để di chuyển dữ liệu kiểm tra giữa các tổ chức. Thông tin đăng nhập bị đánh cắp, bị tái sử dụng, hoặc bị bỏ mặc mà không có biện pháp bảo vệ mạnh mẽ là một trong những cách phổ biến nhất mà kẻ tấn công xâm nhập vào hệ thống, và quyền truy cập tồn tại lâu dài có thể bị bỏ qua nếu không giám sát chặt chẽ.
Một nhà bình luận về bảo mật được trích dẫn trong bài đưa tin đã đưa ra con số hồ sơ học sinh bị xâm phạm là bảy triệu, và mô tả những rủi ro kinh doanh và trách nhiệm pháp lý nghiêm trọng mà một vụ xâm phạm như vậy tạo ra cho các tổ chức nắm giữ dữ liệu học sinh. Các con số chính xác có thể được điều chỉnh khi cuộc điều tra tiếp tục, vì vậy hãy coi những con số ban đầu là sơ bộ.
Dữ liệu học sinh nào đã bị lộ và ai là người gặp rủi ro
Các báo cáo cho biết thông tin bị đánh cắp bao gồm tên, ngày sinh, tình trạng khuyết tật và kết quả kiểm tra của học sinh California. Mỗi thông tin này mang những rủi ro khác nhau:
- Tên và ngày sinh là những thành tố cốt lõi cho việc đánh cắp danh tính và cho các nỗ lực mạo danh thuyết phục.
- Tình trạng khuyết tật rất nhạy cảm. Không giống như mật khẩu, nó không thể thay đổi, và việc lộ nó có thể gây tổn hại vượt xa gian lận tài chính.
- Kết quả kiểm tra là hồ sơ giáo dục mà các gia đình có lý do chính đáng để mong được giữ kín.
Những người bị ảnh hưởng nhiều nhất là học sinh California có dữ liệu kiểm tra đi qua trang truyền tệp của ETS, có thể bao gồm học sinh hiện tại, và có khả năng cả học sinh cũ tùy thuộc vào thời gian hồ sơ được lưu giữ. Người trẻ là mục tiêu đặc biệt hấp dẫn đối với kẻ đánh cắp danh tính vì họ thường không có lịch sử tín dụng, nên việc lạm dụng có thể không bị phát hiện trong nhiều năm.
Nếu bạn nhận được thông báo từ CDE hoặc ETS, hãy coi trọng nó và đọc kỹ. Thông báo là nguồn đáng tin cậy nhất về những gì áp dụng cho bạn và những dịch vụ đang được cung cấp.
Tại sao các nhà thầu giáo dục là một mắt xích yếu
Các trường học và cơ quan nhà nước hiếm khi tự vận hành mọi hệ thống. Việc kiểm tra, các nền tảng học tập và xử lý dữ liệu thường được thuê ngoài, nghĩa là thông tin học sinh được sao chép vào các hệ thống do các tổ chức khác vận hành. Mỗi lần chuyển giao tạo ra một nơi khác mà dữ liệu có thể bị lộ, và các gia đình thường không có tiếng nói trong việc nhà cung cấp nào được sử dụng.
Vụ vi phạm này khớp với một mô thức. Chúng tôi đã đưa tin về cách một vụ vi phạm dữ liệu Canvas thứ hai làm gián đoạn các kỳ thi tại Penn State và hơn thế nữa, một trường hợp khác mà một nhà cung cấp công nghệ phục vụ nhiều tổ chức trở thành điểm thất bại. Khi một nhà cung cấp phục vụ hàng triệu học sinh, một điểm yếu có thể ảnh hưởng đến tất cả họ cùng một lúc.
Ba câu hỏi đáng để đặt ra với bất kỳ nhà cung cấp giáo dục nào:
- Dữ liệu được lưu giữ bao lâu? Những hồ sơ không còn cần thiết nên được xóa. Các tệp cũ nằm trên một trang truyền tệp là một trách nhiệm pháp lý.
- Quyền truy cập được bảo vệ như thế nào? Một thông tin đăng nhập bị đánh cắp duy nhất không nên đủ để truy cập hàng triệu hồ sơ.
- Các bất thường được phát hiện nhanh đến mức nào? Quyền truy cập tồn tại trong nhiều tháng cho thấy những lỗ hổng giám sát đáng để xem xét.
Điều này có ý nghĩa gì với bạn
Nếu bạn là phụ huynh, người giám hộ hoặc học sinh ở California, bạn không cần phải hoảng loạn, nhưng bạn nên hành động. Dữ liệu được báo cáo liên quan là thông tin cá nhân ổn định, nên rủi ro có thể kéo dài rất lâu sau khi chu kỳ tin tức qua đi.
VPN không bảo vệ chống lại loại vi phạm này, vì dữ liệu bị lấy từ máy chủ của nhà cung cấp chứ không phải từ kết nối của bạn. Các biện pháp phòng vệ hữu ích hơn là những biện pháp dưới đây.
- Đóng băng tín dụng. Đóng băng tín dụng là miễn phí và ngăn chặn hầu hết các nỗ lực mở tài khoản mới dưới tên của học sinh. Phụ huynh thường có thể yêu cầu đóng băng cho người chưa thành niên; hãy kiểm tra quy trình của các văn phòng tín dụng để biết cách thực hiện.
- Cảnh giác với lừa đảo phishing. Kẻ tấn công biết tên, ngày sinh và bối cảnh trường học của học sinh có thể viết những tin nhắn rất thuyết phục. Hãy hoài nghi với các email hoặc tin nhắn văn bản bất ngờ về việc kiểm tra, học bổng hoặc chính vụ vi phạm, và truy cập trực tiếp vào các trang web chính thức thay vì nhấp vào liên kết.
- Sử dụng sự hỗ trợ được cung cấp. Nếu thông báo bao gồm dịch vụ giám sát hoặc hỗ trợ, hãy đăng ký kịp thời và giữ một bản sao của thông báo.
- Bảo mật tài khoản. Sử dụng mật khẩu duy nhất và xác thực đa yếu tố trên email và tài khoản trường học, vì email thường là chìa khóa để đặt lại mọi thứ khác.
- Lưu giữ hồ sơ. Ghi lại ngày tháng, thông báo và bất kỳ hoạt động đáng ngờ nào phòng trường hợp bạn cần khiếu nại gian lận sau này.
Những điểm cần hành động
Vụ vi phạm dữ liệu học sinh California tại ETS cho thấy sức mạnh của các cam kết bảo mật của một trường học bị giới hạn bởi nhà cung cấp yếu nhất của nó. Các gia đình không thể tự mình khắc phục điều đó, nhưng họ có thể giảm thiểu thiệt hại và thúc đẩy các thực hành tốt hơn.
- Đóng băng tín dụng cho học sinh bị ảnh hưởng và người lớn trong hộ gia đình.
- Coi các tin nhắn bất ngờ về việc kiểm tra hoặc vụ vi phạm là đáng ngờ cho đến khi được xác minh qua các kênh chính thức.
- Hỏi trường học, khu học chánh và bất kỳ nhà cung cấp nào về thời gian lưu giữ dữ liệu học sinh và ai có quyền truy cập vào chúng.
- Theo dõi các cập nhật từ CDE và ETS khi cuộc điều tra phát triển.
Đây không phải là lần đầu tiên công nghệ giáo dục bị tấn công, và các sự cố Canvas cho thấy đây sẽ không phải là lần cuối. Cập nhật thông tin và đặt những câu hỏi trực tiếp về việc lưu giữ dữ liệu là một trong những bước thực tiễn nhất mà các gia đình có thể thực hiện.
