Eğitim teknolojisi devi Powerschool'u ihlal eden hacker, gaspta 62.4 milyon öğrenci ve 9.5 milyon öğretmenin kişisel verilerini çaldıklarını iddia etti.
PowerSchool, K-12 okulları ve bölgeleri için kayıt, iletişim, katılım, personel yönetimi, öğrenme sistemleri, analiz ve finans için araçlar sağlayan bulut tabanlı bir yazılım çözümleri sağlayıcısıdır.
7 Ocak'ta Powerschool, bir tehdit aktörünün şirketin PowerSource Müşteri Destek Portalına erişmek için çalıntı kimlik bilgilerini kullandıktan sonra bir siber saldırıya maruz kaldığını açıkladı.
Tehdit oyuncusu bu erişimi kullanarak, ilçelerin PowerSis veritabanlarından öğrenci ve öğretmen verilerini indirmek için bir müşteri desteği bakım erişim aracı kullandı.
BleepingComputer tarafından ilk olarak bildirildiği ve görüldüğü gibi, bir SSS, sosyal güvenlik numaraları, tıbbi bilgiler ve notlar gibi hassas bilgilerin ihlalden etkilenen bir öğrenci alt kümesi için çalındığını belirtti.
Bu SSS ayrıca, Powerschool'un çalınan verilerin özel olarak sızdırılmasını önlemek için bir fidye ödediğini ve verileri sildiğini iddia eden tehdit oyuncusunun bir videosunu izlediğini belirtti.
Şirket, özel müşteri SSS'de diğer güvenlik açıklamalarından daha fazla şeffaflık gösterirken, hala kaç öğrenci ve öğretmenin ihlalden etkilendiği, sinir bozucu ebeveynleri, öğretmenleri ve okul yöneticilerini BleepingComputer ile konuşan okul yöneticileri sağlamadılar.
Bununla birlikte, BleepingComputer bu ihlalin etkisine daha fazla ışık tutan bilgiler aldı.
Birden fazla kaynağa göre, PowerSchool saldırısının arkasındaki tehdit oyuncusu, ABD, Kanada ve diğer ülkelerdeki 6.505 okul bölgesinin verilerini şirkete gasp talebinde çaldığını iddia etti.
Toplamda, BleepingComputer'a Powerschool veri ihlalinin 62.488.628 öğrenciyi ve 9.506.624 öğretmeni etkilediği söylendi.
BleepingComputer tarafından görülen bilgilerde, Powerschool ihlalinden etkilendiği iddia edilen en büyük bölgeler şunlardır:
Kurullar Kanada'daki belirli bir bölgedeki tüm okulları yönetirken, Kanada okul kurullarının sayılarının ABD okul bölgelerinden daha büyük olma eğiliminde olduğuna dikkat edilmelidir.
PowerSchool, araştırması hala devam ettiği için belirli sayılar hakkında yorum yapmasa da, BleepingComputer'a veri ihlalinde maruz kalan veri türünün bölge başına değiştiğine dair stres yaptılar.
Powerschool, okul bölgelerinin SIS veritabanında hangi bilgilerin bölge veya devlet politikası gereksinimlerine göre saklandığına karar verdiğini söylüyor. Bu nedenle, etkilenen öğrencilerin dörtte birinden daha azının sosyal güvenlik numaralarının ihlalde maruz kalması bekleniyor.
Şirket ayrıca hem bulut tabanlı hem de şirket içi Powerschool SIS müşterilerine sahip olduklarını söyledi. Veritabanlarını kendi kendine barındıran bölgeler için, bölgenin analiz için bilgi paylaşmasını gerektirdiği için veri incelemesi daha karmaşıktır.
Raporlamamızla ilgili sorulara yanıt olarak Powerschool, aşağıdaki ifadeyi BleepingComputer ile paylaştı.
"Powerschool sis üzerinde çok büyük bir müşteri tabanımız olduğunu anlıyoruz, ancak ilgili bireylerin çoğunluğunun - aslında üç çeyrekten fazla - sosyal güvenlik numaralarının ortaya çıkmamasını beklediğimizi vurgulamanın önemli olduğunu düşünüyoruz. Birçok kişi alıyoruz. Ne tür verilerin dahil olduğu ve geniş fırça ifadeleri yapmak zordur, çünkü cevap bireysel müşteriye göre değişir ve müşteri seçimine ve eyalet veya bölge politikalarına ve gereksinimlerine bağlıdır.
Hizmet verdiğimiz öğrencileri, öğretmenleri ve aileleri derinden önemsiyoruz ve gönülden onları desteklemeye kararlıyız. PowerSchool, bilgileri dahil olan tüm geçerli öğrenciler ve eğitimciler için iki yıllık ücretsiz kimlik koruma hizmetleri ve iki yıllık ücretsiz kredi izleme hizmetleri sunacak. Bunu, bir bireyin sosyal güvenlik numarasının ortaya çıkıp çıkmadığına bakılmaksızın yapıyoruz (yani, düzenleme yoluyla yapmamız gerekip gerekmediğine bakılmaksızın bunu yapıyoruz). Ayrıca, devlet avukatları genel ofislerine, eğitimcilere, öğrencilere ve diğer etkilenen paydaşlara müşterilerimiz adına bildirimler yapacağız. Bu bildirimlerin müşterilerimiz ve kurumları üzerindeki yükünü hafifletmeyi umuyoruz. "
Powerschool, etkilenen tüm öğrenciler ve eğitimciler için 2 yıllık ücretsiz kimlik koruması ve kredi izleme hizmetleri sunacaklarını söylüyor.
Şirket ayrıca, müşteriler adına devlet başsavcı ofislerine ve etkilenenlere veri ihlali bildirimleri gönderecektir. Bunun ne zaman gerçekleşeceğine dair bir zaman çizelgesi belirsizdir.
Ayrıca, Powerschool 17 Ocak'ta Crowdstrike'ın soruşturmalarına dayanan bir olay raporu yayınlama sözü verdi, ancak bu tarih yayınlanmadan geçti.
Raporun ne zaman mevcut olacağı sorulduğunda Powerschool, Crowdstrike'in hala tamamlandığında müşterilere sunulacak adli raporu sonuçlandırmak için çalıştığını söyledi.
Bu arada, PowerSchool, müşterilerin sadece müşterinin şimdiye kadar bilinen hakkında gizli bir Crowdstrike gerçeği alabileceğini söyleyerek sadece müşteri SSS'sine bir güncelleme yayınladı.
PowerSchool ayrıca, etkilenenlerin daha fazla güncelleme için izleyebileceği özel bir kamu web sitesi oluşturdu.
PowerSchool Hack, K-12 Bölgelerinden Öğrenci, Öğretmen Verileri ortaya çıkarır
Hacker'ın kaynak kodunu çaldığını iddia ettiği için HPE, ihlali araştırıyor
Otier Veri ihlali bilgileri ortaya çıkarır, milyonlarca otel rezervasyonları
Wolf Haldenstein hukuk firması, veri ihlalinden 3,5 milyon etkilendiğini söylüyor
Etiket devi Avery, web sitesinin kredi kartlarını çalmak için hacklendiğini söylüyor
Kaynak: Bleeping Computer