ETS数据泄露事件发生了什么？

一个未经授权的第三方使用被盗用的登录凭证访问了ETS运营的一个文件传输站点，并在5月22日至9月18日期间复制了学生记录。

有多少学生记录受到影响？

报道中引用的一位安全评论员将泄露的学生记录数量定为700万条，不过随着调查的继续，确切数字可能会被修正。

认真对待并仔细阅读，因为该通知是了解适用于您的情况以及正在提供哪些服务的最可靠来源。

加利福尼亚州教育部（CDE）已就其一承包商——美国教育考试服务中心（ETS）的数据泄露事件通知了学生和家庭。此次ETS加州学生数据泄露事件提醒人们，学校记录的隐私取决于每一家接触这些数据的公司，而不仅仅是学校本身。

CDE正在分发ETS数据泄露通知，以帮助确保受影响的人获得有关该事件的信息以及可获得的 supporting 支持。以下是目前已知的报道内容，以及家庭可以采取的应对措施。

根据有关该事件的报道，一个未经授权的第三方使用被盗用的登录凭证访问了ETS运营的一个文件传输站点。ETS是负责为该州运营考试的非营利组织。报道指出，入侵者在5月22日至9月18日期间复制了学生记录。这意味着在大约四个月的时间窗口内，一个被盗的凭证似乎一直有效。

这一细节很重要。该事件并未被描述为对州政府自身系统的复杂入侵。它涉及一个登录凭证，以及一个用于在组织之间传输考试数据的文件传输站点。被盗用、被重复使用或缺乏强有力保护的凭证是攻击者进入系统最常见的方式之一，而长期有效的访问权限若缺乏密切监控，可能会被忽视。

报道中引用的一位安全评论员将 compromised 学生记录的数量定为700万条，并描述了此类泄露给持有学生数据的组织带来的严重商业和法律责任风险。随着调查的继续，确切数字可能会被修正，因此应将早期数字视为初步数据。

报道称，被盗信息包括加州学生的姓名、出生日期、残疾状况和考试成绩。每一项都带来不同的风险：

受影响最大的是那些考试数据经过ETS文件传输站点的加州学生，其中可能包括在校学生，取决于记录保存时间的长短，也可能包括以前的学生。年轻人是身份窃贼特别青睐的目标，因为他们通常没有信用记录，因此滥用行为可能多年不被发现。

如果您收到了来自CDE或ETS的通知，请认真对待并仔细阅读。该通知是了解适用于您的情况以及正在提供哪些服务的最可靠来源。

学校和州政府机构很少自行运营所有系统。考试、学习平台和数据处理通常被外包，这意味着学生信息被复制到其他组织运营的系统中。每一次交接都会创造另一个数据可能被泄露的环节，而家庭通常对使用哪些供应商没有发言权。

此次泄露符合一种模式。我们曾报道过第二次Canvas数据泄露扰乱了宾夕法尼亚州立大学及其他地区的考试，这是另一个服务于众多机构的技术提供商成为故障点的案例。当一个供应商服务于数百万学生时，一个弱点就可能同时影响所有人。

对于任何教育供应商，有三个问题值得一问：

如果您是加州的家长、监护人或学生，您不必恐慌，但应该采取行动。据报道涉及的数据是稳定的个人信息，因此风险可能在新闻热度消退后长期存在。

VPN无法防范此类泄露，因为数据是从供应商的服务器而非您的连接中被窃取的。更有用的防御措施如下。

冻结信用。 信用冻结是免费的，可以阻止大多数以学生名义开设新账户的尝试。家长通常可以为未成年人申请冻结；请查看信用局的流程。
警惕钓鱼攻击。 知道学生姓名、出生日期和学校背景的攻击者可以写出非常有说服力的信息。对有关考试、奖学金或泄露事件本身的意外邮件或短信保持怀疑，直接访问官方网站而非点击链接。
利用提供的支持。 如果通知包含监控或援助服务，请尽快注册并保留通知副本。
保护账户安全。 在电子邮件和学校账户上使用唯一密码和多因素认证，因为电子邮件通常是重置其他所有账户的关键。
保留记录。 记录日期、通知和任何可疑活动，以备日后需要 disputing 欺诈时使用。