รายงาน: 7 ล้านบันทึกของนักเรียนเปิดเผยโดย K12.com

ฐานข้อมูล K12.com ที่มีบันทึกนักเรียนเกือบ 7 ล้านรายการถูกเปิดทิ้งไว้เพื่อให้ทุกคนที่มีการเชื่อมต่ออินเทอร์เน็ตสามารถเข้าถึงได้ ในวันที่ 25 มิถุนายน 2562 บ็อบดีอาเชนโกนักวิจัยด้านความปลอดภัยและนักวิจัยด้านความปลอดภัยเปิดเผยว่า การรั่วไหลของข้อมูลเกี่ยวข้องกับอินสแตนซ์ MongoDB ที่เผยแพร่ต่อสาธารณะ.

K12.com มีโปรแกรมการศึกษาออนไลน์สำหรับนักเรียน การเปิดรับนี้ส่งผลต่อระบบการเรียนรู้ A + nyWhere (A + LS) ซึ่งมีการใช้งานมากกว่า 1,100 โรงเรียน.

ข้อมูลอะไรถูกเปิดเผย?

ฐานข้อมูลที่เปิดเผยมีบันทึกเกือบ 7 ล้าน (6,988,504) รายการที่มีข้อมูลของนักเรียน ข้อมูลที่เก็บไว้ในแต่ละบันทึกรวม:

• ที่อยู่อีเมลส่วนตัวหลัก
• ชื่อเต็ม
• เพศ
• อายุ
• วันที่เกิด
• ชื่อโรงเรียน
• คีย์การรับรองความถูกต้องสำหรับการเข้าถึงบัญชี ALS และงานนำเสนอ
• ข้อมูลภายในอื่น ๆ

ในกรณีนี้ MongoDB (2.6.4) เวอร์ชันเก่ากำลังถูกใช้งาน ฐานข้อมูลรุ่นนี้ไม่ได้รับการสนับสนุนตั้งแต่ตุลาคม 2559 มีอะไรเพิ่มเติมที่ Remote Desktop Protocol (RDP) ถูกเปิดใช้งาน แต่ไม่ปลอดภัย.

เป็นผลให้ฐานข้อมูลถูกจัดทำดัชนีโดยเครื่องมือค้นหา Shodan และ BinaryEdge ซึ่งหมายความว่าระเบียนที่มีอยู่ในฐานข้อมูลจะปรากฏต่อสาธารณะ.

เราค้นพบข้อมูลที่จัดทำดัชนีในวันที่ 25 มิถุนายน แต่มันเป็นข้อมูลสาธารณะตั้งแต่วันที่ 23 มิถุนายนและฐานข้อมูลไม่ได้ถูกปิดจนกว่าจะถึงวันที่ 1 กรกฎาคมดังนั้นโดยทั่วไปการรั่วไหลของข้อมูลใช้เวลาเพียงหนึ่งสัปดาห์ ยังไม่ชัดเจนว่าฝ่ายที่ประสงค์ร้ายจะเข้าใช้ข้อมูลในช่วงที่ได้รับสารหรือไม่.

Diachenko สามารถติดต่อกับ K12 ตัวแทนได้ด้วยความช่วยเหลือของ Dissent Doe ผู้ดูแลระบบของ Databreaches.net K12 ตอบสนองได้ดีมากและให้คำสั่งต่อไปนี้.

“ K12 ให้ความสำคัญกับความปลอดภัยของข้อมูลเป็นอย่างมาก เมื่อใดก็ตามที่เราได้รับคำแนะนำเกี่ยวกับปัญหาความปลอดภัยที่อาจเกิดขึ้นเราจะตรวจสอบปัญหาทันทีและดำเนินการตามความเหมาะสมเพื่อแก้ไขสถานการณ์”

ผลกระทบของข้อมูลที่เปิดเผย

ในขณะที่การรั่วไหลของข้อมูลนี้ไม่ได้เลวร้ายอย่างเช่นการเปิดเผยข้อมูลทางการเงินหรือหมายเลขประกันสังคม แต่ก็มีผลกระทบ ข้อมูลเหล่านี้สามารถใช้เพื่อกำหนดเป้าหมายนักเรียนเป็นรายบุคคลด้วยการหลอกลวงแบบหอกและการฉ้อโกงการครอบครองบัญชี การมีชื่อโรงเรียนให้เป็นสาธารณะอาจทำให้นักเรียนเสี่ยงต่อการทำร้ายร่างกาย.

หากคุณหรือลูกของคุณใช้ A + LS ของ K12 โปรดระวังสิ่งต่างๆเช่นความพยายามในการเข้าสู่ระบบสำหรับบัญชีต่างๆและอีเมลฟิชชิ่ง การมีที่อยู่อีเมลเป็นที่เปิดเผยสู่สาธารณะอาจส่งผลให้มีจำนวนอีเมลสแปมเพิ่มขึ้น.

เกี่ยวกับ K12.com

K12.com จัดหาโปรแกรมการเรียนรู้ออนไลน์ให้กับบุคคลและโรงเรียน ปรากฏว่าการเปิดรับนี้ส่งผลกระทบต่อซอฟต์แวร์ A + LS เท่านั้น นักเรียนสามารถเข้าถึงระบบนี้ได้ผ่านเดสก์ท็อปไคลเอ็นต์บนคอมพิวเตอร์ที่บ้านหรือที่โรงเรียนหรือผ่านทางเว็บทั้งภายในและภายนอกเครือข่ายของโรงเรียนทั้งนี้ขึ้นอยู่กับการตั้งค่า ข้อมูลส่วนบุคคลเช่นชื่อที่อยู่อีเมลและวันเดือนปีเกิดเป็นสิ่งจำเป็นสำหรับนักเรียนแต่ละคนในการสร้างบัญชี.

เท่าที่เราทราบ K12.com ไม่เคยมีส่วนเกี่ยวข้องกับการรั่วไหลของข้อมูลอื่น ๆ ในอดีต อย่างไรก็ตามนี่ไม่ใช่การเปิดเผยครั้งแรกที่ส่งผลกระทบต่อนักเรียนในการศึกษา K-12 และจะไม่ใช่ครั้งสุดท้าย อันที่จริงมีเหตุการณ์ความมั่นคงทางไซเบอร์ 122 เหตุการณ์ในปี [year] ที่เกี่ยวข้องกับหน่วยงานการศึกษา 119 แห่ง ในขณะที่โรงเรียนใช้เทคโนโลยีมากขึ้นความปลอดภัยทางไซเบอร์จะยังคงเป็นปัญหาที่เพิ่มขึ้นเรื่อย ๆ.