FTC: Η Illuminate καλείται να διαγράψει δεδομένα μαθητών

Η Ομοσπονδιακή Επιτροπή Εμπορίου (FTC) προτείνει ότι ο πάροχος τεχνολογίας εκπαίδευσης Illuminate Education πρέπει να διαγράψει περιττά δεδομένα μαθητών και να βελτιώσει την ασφάλειά του, για να διευθετήσει κατηγορίες που σχετίζονται με ένα περιστατικό του 2021 που εξέθεσε πληροφορίες 10 εκατομμυρίων μαθητών.

Η απόφαση της υπηρεσίας έρχεται λίγο μετά τη συμφωνία των πολιτειών της Καλιφόρνια, του Κονέκτικατ και της Νέας Υόρκης να διευθετήσουν τις σχετικές νομικές υποθέσεις τους εναντίον της Illuminate, για 5,1 εκατομμύρια δολάρια.

Η Illuminate Education είναι ένας πάροχος προϊόντων τεχνολογίας cloud για σχολεία και σχολικές περιφέρειες K-12. Προσφέρει μια σειρά εργαλείων για τη συλλογή, οργάνωση, ανάλυση και αναφορά δεδομένων μαθητών, καλύπτοντας την ακαδημαϊκή επίδοση, τις αξιολογήσεις, την παρακολούθηση, τον προγραμματισμό και τα δημογραφικά και συμπεριφορικά δεδομένα.

Δείτε επίσης: Πανεπιστήμιο της Πενσυλβάνια: Νέα παραβίαση δεδομένων μέσω Oracle EBS

Παρά την αυξημένη ανάγκη προστασίας αυτών των δεδομένων, η FTC αναφέρει ότι η εταιρεία απέτυχε στο πρόγραμμα ασφάλειάς της σε πολλαπλά επίπεδα: έλλειψη ελέγχων πρόσβασης, ανεπαρκής ανίχνευση και απόκριση, αδύναμες πρακτικές παρακολούθησης και επιδιόρθωσης ευπαθειών και αποθήκευση σημαντικών δεδομένων σε απλό κείμενο.

Illuminate Education: Παραβίαση δεδομένων

Οι αποτυχίες ασφάλειας της Illuminate έγιναν γνωστές τον Δεκέμβριο του 2021, όταν ένας χάκερ απέκτησε πρόσβαση στα συστήματα της εταιρείας χρησιμοποιώντας διαπιστευτήρια από έναν πρώην υπάλληλο που είχε αποχωρήσει από την εταιρεία περισσότερο από τρία χρόνια πριν. Χρησιμοποιώντας τα διαπιστευτήρια, ο χάκερ απέκτησε πρόσβαση στις βάσεις δεδομένων της Illuminate εξάγοντας τα προσωπικά δεδομένα περίπου 10,1 εκατομμυρίων μαθητών.

Τα δεδομένα που εκτέθηκαν, ήταν:

• Διευθύνσεις ηλεκτρονικού ταχυδρομείου
• Φυσικές διευθύνσεις
• Ημερομηνίες γέννησης
• Αρχεία φοιτητών
• Πληροφορίες σχετικά με την υγεία

Δείτε επίσης: Το KimJongRAT στοχεύει χρήστες Windows μέσω μολυσμένων αρχείων .hta

Η FΤC σημειώνει ότι η Illuminate έλαβε προειδοποιήσεις, από έναν τρίτο προμηθευτή, ότι τα δίκτυά της είχαν πολλά κενά ασφαλείας. Ωστόσο, η εταιρεία δεν έκανε τίποτα για να τα διορθώσει και συνέχισε να αποθηκεύει δεδομένα μαθητών σε απλό κείμενο μέχρι τον Ιανουάριο του 2022.

Η εταιρεία, επίσης, παραπλάνησε τα σχολεία σχετικά με τη στάση της για την ασφάλεια και τα μέτρα προστασίας δεδομένων, ισχυριζόμενη (σε συμβάσεις) ότι “οι πρακτικές και οι διαδικασίες της έχουν σχεδιαστεί για να πληρούν ή να υπερβαίνουν τις βέλτιστες πρακτικές της ιδιωτικής βιομηχανίας“. Μάλιστα ανέφερε την κρυπτογράφηση δεδομένων ως ένα από αυτά τα μέτρα.

Η FTC λέει ότι η Illuminate περίμενε δύο χρόνια μετά το περιστατικό για να ειδοποιήσει τις επηρεαζόμενες σχολικές περιφέρειες, αφήνοντας τους εκτεθειμένους χρήστες σε κίνδυνο phishing και άλλων επιθέσεων για παρατεταμένη χρονική περίοδο.

Δείτε επίσης: ShadyPanda: 4.3 εκατ. χρήστες Chrome και Edge παραβιάστηκαν

Για αυτούς τους λόγους, η υπηρεσία θα απαιτήσει από την εταιρεία να βελτιώσει τις άμυνές της μέσω ενός προγράμματος ασφάλειας δεδομένων (για να διευθετήσει τις κατηγορίες). Στο πλαίσιο της συμφωνίας, η Illuminate θα πρέπει να διαγράψει όλα τα περιττά δεδομένα, να ακολουθήσει ένα δημόσιο πρόγραμμα διατήρησης δεδομένων, να σταματήσει να παραπλανά τους πελάτες της για τις πρακτικές ασφαλείας της και να ειδοποιεί την FΤC όταν αναφέρει περιστατικά παραβίασης δεδομένων σε άλλες αρχές.

Η εντολή βρίσκεται στο στάδιο της ολοκλήρωσης και σύντομα θα ανοίξει για δημόσιο σχόλιο για 30 ημέρες. Οι παραβιάσεις της τελικής εντολής θα επιφέρουν αστική ποινή έως και 51.744 δολάρια ανά περίπτωση.

Πηγή: www.bleepingcomputer.com