اطلاعات میلیون‌ها دانش‌آموز سرقت شد؛ نام، نشانی و سوابق حساس در معرض خطر قرار گرفت

سرقت اطلاعات دانش‌آموزان کالیفرنیا پس از دسترسی غیرمجاز به سامانه ETS؛ بررسی می‌کنیم چه داده‌هایی کپی شده و این رخداد چه درس‌هایی برای امنیت اطلاعات دارد.

نویسنده:

بهراد یوسفی

اطلاعات شخصی دانش‌آموزان مدارس دولتی کالیفرنیا پس از دسترسی غیرمجاز به سامانه انتقال فایل مؤسسه Educational Testing Service (ETS) کپی شده است. این اطلاعات، بسته به پرونده هر فرد، می‌تواند شامل نام، تاریخ تولد، نشانی محل سکونت، شناسه دانش‌آموزی، اطلاعات جمعیت‌شناختی، سوابق آزمون و داده‌های مرتبط با معلولیت یا برنامه‌های آموزشی باشد. اداره آموزش کالیفرنیا در ۱۶ اکتبر ۲۰۲۶ اعلام کرد اطلاع‌رسانی به افراد آسیب‌دیده آغاز شده است. طبق گزارش برخی رسانه‌ها، دامنه این رخداد حدود ۷ میلیون دانش‌آموز را در بر می‌گیرد؛ بااین‌حال، اطلاعیه رسمی دولت ایالت رقم دقیق را مشخص نکرده است.

نفوذ چگونه اتفاق افتاد؟

بر اساس اطلاعیه اداره آموزش کالیفرنیا (CDE)، مؤسسه ETS که به‌عنوان پیمانکار در اجرای آزمون‌های استاندارد مدارس این ایالت فعالیت می‌کند، در ۲۵ سپتامبر ۲۰۲۶ فعالیت غیرمجاز در یک سامانه انتقال امن فایل را شناسایی کرد. این سامانه برای تبادل اطلاعات مربوط به آزمون‌های دانش‌آموزان با اداره آموزش کالیفرنیا استفاده می‌شد. بررسی‌های انجام‌شده نشان داد فردی غیرمجاز با استفاده از اطلاعات ورود به‌سرقت‌رفته، در بازه‌های زمانی مختلف از ۲۲ مه تا ۱۸ سپتامبر ۲۰۲۶ به سامانه دسترسی پیدا کرده و فایل‌های حاوی اطلاعات دانش‌آموزان را کپی کرده است. ETS پس از شناسایی رخداد، حساب کاربری درگیر را غیرفعال کرد، سامانه انتقال فایل را از دسترس خارج ساخت و با کمک متخصصان امنیت سایبری بررسی‌های فنی را آغاز کرد. این مؤسسه همچنین یک سامانه جدید با کنترل‌های امنیتی تقویت‌شده ایجاد کرده است.

چه اطلاعاتی در معرض خطر قرار گرفت؟

نوع اطلاعات درگیر برای همه افراد یکسان نیست. مطابق اطلاعیه رسمی، فایل‌های کپی‌شده ممکن است شامل این داده‌ها باشند:

نام، تاریخ تولد و نشانی محل سکونت دانش‌آموز؛
شناسه دانش‌آموزی، نام مدرسه، منطقه آموزشی و پایه تحصیلی؛
اطلاعات جمعیت‌شناختی مانند زبان اصلی، جنسیت و اطلاعات مربوط به پیشینه فرد؛
اطلاعات مرتبط با معلولیت، تسهیلات موردنیاز برای آزمون و وضعیت مشارکت در برخی برنامه‌های آموزشی؛
اطلاعات ثبت‌نام، شرکت در آزمون‌ها و نتایج ارزیابی‌های تحصیلی، در موارد مربوط.

اداره آموزش کالیفرنیا اعلام کرده است که شماره تأمین اجتماعی، اطلاعات حساب‌های مالی، اطلاعات کارت‌های بانکی، گذرواژه حساب‌ها و اطلاعات شخصی والدین یا سرپرستان در داده‌های درگیر این رخداد نبوده‌اند.

بااین‌حال، نبود اطلاعات بانکی یا گذرواژه‌ها به این معنا نیست که اطلاعات کپی‌شده فاقد ارزش برای مجرمان سایبری است. ترکیب نام، تاریخ تولد، نشانی و اطلاعات مربوط به مدرسه می‌تواند به مهاجم کمک کند پیام‌هایی متقاعدکننده‌تر و متناسب با شرایط واقعی فرد طراحی کند.

یکی از خطرهای مهم در رخدادهای نشت اطلاعات، امکان استفاده مجدد از داده‌ها برای فریب افراد است. برای مثال، مهاجم می‌تواند با استفاده از اطلاعات واقعی دانش‌آموز یا خانواده او، پیام یا ایمیلی طراحی کند که ظاهراً از طرف مدرسه، مؤسسه آموزشی یا یک نهاد خدماتی ارسال شده است. چنین پیامی ممکن است از مخاطب بخواهد برای مشاهده نتیجه آزمون، تکمیل پرونده آموزشی، دریافت کمک‌هزینه یا اصلاح اطلاعات دانش‌آموز وارد یک صفحه اینترنتی شود. اگر لینک به یک صفحه جعلی منتهی شود، کاربر ممکن است اطلاعات ورود به حساب خود را در اختیار مهاجم قرار دهد. این سناریو یک خطر محتمل است، نه تأیید وقوع چنین سوءاستفاده‌ای در این پرونده. اداره آموزش کالیفرنیا اعلام کرده است که تاکنون در پایش‌های انجام‌شده، شواهدی مبنی بر انتشار عمومی اطلاعات سرقت‌شده پیدا نشده است. موضوع مهم دیگر، حساسیت اطلاعات مربوط به معلولیت یا شرایط آموزشی است. افشای چنین داده‌هایی می‌تواند حریم خصوصی افراد را نقض کند و زمینه را برای هدف‌گیری، فریب یا سوءاستفاده‌های شخصی فراهم سازد؛ حتی اگر هیچ اطلاعات مالی مستقیمی در میان نباشد.

خانواده‌ها و سازمان‌ها چه درس‌هایی باید بگیرند؟

این رخداد یادآوری می‌کند که امنیت اطلاعات فقط به پیچیدگی حمله‌های فنی یا وجود آسیب‌پذیری‌های نرم‌افزاری وابسته نیست. در این پرونده، بر اساس اطلاعات رسمی منتشرشده، مهاجم از یک اعتبار ورود به‌خطر‌افتاده برای دسترسی به سامانه استفاده کرده است. برای سازمان‌هایی که اطلاعات دانش‌آموزان، مشتریان یا کارکنان را نگهداری می‌کنند، محدودسازی دسترسی حساب‌ها به حداقل سطح موردنیاز، استفاده از احراز هویت دومرحله‌ای، پایش ورودهای غیرعادی، محدودکردن دسترسی به فایل‌های حساس و بازبینی دوره‌ای حساب‌های دارای دسترسی گسترده اهمیت دارد. ثبت رویدادها و هشداردهی درباره دانلود یا کپی غیرعادی فایل‌ها نیز می‌تواند به شناسایی زودتر رخداد کمک کند. برای خانواده‌ها نیز یک اقدام مهم، حساسیت نسبت به پیام‌هایی است که با اشاره به نام دانش‌آموز، مدرسه یا اطلاعات شخصی او درخواست کلیک روی لینک، ارائه اطلاعات یا ورود به حساب را مطرح می‌کنند. واقعی بودن بخشی از اطلاعات پیام، به‌تنهایی اصالت فرستنده را ثابت نمی‌کند.

وضعیت رسیدگی به رخداد

اداره آموزش کالیفرنیا اعلام کرده است که اطلاع‌رسانی به افراد آسیب‌دیده از ۱۶ اکتبر آغاز شده و انتظار می‌رود تا اوایل نوامبر ادامه داشته باشد. ETS همچنین برای دانش‌آموزان فعلی و سابقی که اطلاعاتشان در این رخداد درگیر بوده است، دو سال خدمات رایگان حفاظت از هویت از طریق Experian IdentityWorks در نظر گرفته است. این رخداد در حال بررسی است و مقام‌های مسئول همچنان برای ارزیابی دامنه اثرگذاری و اقدامات اصلاحی همکاری می‌کنند. در زمان انتشار اطلاعیه رسمی، شواهدی از انتشار عمومی داده‌های کپی‌شده گزارش نشده بود؛ این موضوع به معنی تضمین عدم انتشار در آینده نیست.

منابع اصلی: