Введение в проблему кибербезопасности
Киберпреступники не щадят ни одну отрасль, целясь в такие сектора, как здравоохранение, страхование, автомобильная промышленность и образование. Здравоохранение часто становится мишенью для атак, как это было с инцидентом Ascension в прошлом году и происшествием CVR в конце 2024 года. Теперь к числу пострадавших присоединилась и образовательная компания PowerSchool, у которой были украдены записи миллионов студентов и учителей.
Масштаб утечки данных
Хотя точное количество пострадавших еще не известно, масштаб утечки вызывает тревогу. PowerSchool обслуживает 18,000 клиентов по всему миру, включая школы в США и Канаде, управляя оценками, посещаемостью и личной информацией более 60 миллионов учащихся и учителей начальной и средней школы.
Хронология событий
PowerSchool уведомила своих клиентов о кибератаке 7 января, как сообщается в источнике BleepingComputer. Компания обнаружила нарушение 28 декабря, когда данные клиентов из платформы PowerSchool SIS были украдены через портал поддержки PowerSource.
PowerSchool SIS – это система управления информацией о студенте, используемая для управления оценками, посещаемостью, регистрацией и другими записями студентов. Хакеры получили доступ к порталу PowerSource, используя украденные учетные данные, и воспользовались инструментом «менеджер экспорта данных» для кражи информации.
Характер утечки
Компания подтвердила, что это не была атака программ-вымогателей или следствие программных уязвимостей, а простое вторжение в сеть. PowerSchool наняла стороннюю компанию по кибербезопасности для расследования инцидента, чтобы выяснить, что произошло и кто пострадал.
Функции портала PowerSource
Портал PowerSource включает функцию, позволяющую инженерам PowerSchool получать доступ к системам клиентов для поддержки и устранения неполадок. Злоумышленник использовал эту функцию для экспорта баз данных «студенты» и «учителя» из PowerSchool SIS в файл CSV, который затем был украден.
Содержимое украденных данных
PowerSchool подтвердила, что украденные данные в основном содержат контактные данные, такие как имена и адреса. Однако для некоторых округов данные могут также включать чувствительную информацию, такую как номера социального страхования, личные идентификационные данные, медицинские записи и оценки.
Меры безопасности и поддержка
Компания уверила, что обращения в службу поддержки клиентов, учетные данные и данные форумов не были доступны или украдены во время утечки. PowerSchool также подчеркнула, что не все клиенты SIS пострадали и ожидает, что только часть из них должна уведомить затронутых.
«Мы не ожидаем, что данные будут опубликованы или распространены, и считаем, что они были удалены без дальнейшего копирования или распространения», — заявила компания в уведомлении для клиентов. «Мы также деактивировали скомпрометированные учетные данные и ограничили доступ к затронутому порталу. В заключение, мы провели полную сброс паролей и ужесточили контроль доступа к учетным записям портала поддержки клиентов PowerSource».
PowerSchool предложит пострадавшим взрослым бесплатный мониторинг кредитов, в то время как несовершеннолетние получат подписки на неопределенную услугу защиты личности.
Шаги для защиты личной информации
Утечка данных PowerSchool подчеркивает важность бдительности в отношении личной информации. Вот пять шагов, которые вы можете предпринять для защиты себя:
1. **Регулярно контролируйте свои счета:** Внимательно следите за своими банковскими счетами, кредитными картами и любыми онлайн-сервисами, связанными с вашей личной информацией. Обратите внимание на несанкционированные транзакции или изменения в ваших учетных записях.
2. **Заморозьте свой кредит:** Если ваш номер социального страхования или другие чувствительные данные были скомпрометированы, подумайте о заморозке кредита в крупных кредитных бюро, таких как Equifax, Experian и TransUnion. Это предотвратит возможность открытия новых счетов от вашего имени.
3. **Используйте услуги защиты от кражи личности:** Воспользуйтесь любыми услугами защиты личности, предлагаемыми PowerSchool в ответ на утечку. Эти услуги могут уведомить вас о подозрительной активности и предоставить поддержку в случае кражи вашей личности.
4. **Включите двухфакторную аутентификацию (2FA):** Где только возможно, включайте 2FA для ваших онлайн-учетных записей. Это добавляет дополнительный уровень безопасности, требуя вторую форму верификации, такую как код из SMS или токен, сгенерированный приложением.
5. **Будьте осторожны с фишинг-ссылками и используйте надежное антивирусное программное обеспечение:** Киберпреступники часто используют фишинг-атаки для эксплуатации утечек данных. Избегайте нажатия на подозрительные ссылки в электронных письмах или текстовых сообщениях, особенно если они якобы от PowerSchool или вашего школьного округа.
Ответственность за утечку данных
Хотя можно винить хакеров за эту утечку, PowerSchool также несет ответственность за недостаточную защиту чувствительных данных. Компания может также нарушать соглашения о конфиденциальности данных, подписанные с школьными округами, а также федеральные и государственные законы, направленные на защиту конфиденциальности студентов. Более того, PowerSchool потребовалось почти две недели, чтобы уведомить своих клиентов о нарушении. Школы теперь вынуждены спешно оценивать весь масштаб инцидента. Эта задержка не только безответственна, но и ставит студентов, родителей и учителей под повышенный риск кибератак и кражи личных данных.
Обсуждение и выводы
Вы считаете, что такие компании, как PowerSchool, должны подвергаться более строгим требованиям к обработке чувствительных данных? Поделитесь своим мнением, написав нам.
Подписывайтесь на наш бесплатный информационный бюллетень CyberGuy Report, чтобы получать больше советов по технологиям и предупреждений о безопасности.
