Rò rỉ dữ liệu Frontline Education ảnh hưởng hơn 1,3 triệu người

Frontline Education đang thông báo cho hơn 1,3 triệu người rằng thông tin cá nhân của họ bị lộ trong một vụ xâm nhập dữ liệu. Tin tặc đã khai thác lỗ hổng trong một sản phẩm phần mềm của bên thứ ba để truy cập trái phép vào hệ thống của công ty, ảnh hưởng đến nhân viên học khu và học sinh.

Sự cố cho thấy rủi ro từ phần mềm bên thứ ba có thể lan tới những hệ thống quản lý dữ liệu nhạy cảm trong ngành giáo dục.

Lỗ hổng trong phần mềm bên thứ ba dẫn đến xâm nhập

Vụ việc xảy ra ngày 14 tháng 8. Theo thông báo sự cố của Frontline, kẻ tấn công lợi dụng một lỗ hổng trong sản phẩm phần mềm bên thứ ba để truy cập trái phép vào môi trường hệ thống của công ty.

Frontline cho biết đã xử lý lỗ hổng bảo mật và tăng cường các biện pháp bảo vệ. Cuộc tấn công được khống chế hoàn toàn vào ngày 15 tháng 8.

Công ty cung cấp phần mềm quản trị dành riêng cho các học khu từ mẫu giáo đến lớp 12 tại Mỹ. Cuộc điều tra xác định dữ liệu bị đánh cắp liên quan đến các sản phẩm Frontline Central và School Health Management.

Nhiều loại thông tin cá nhân có thể bị lộ

Dữ liệu bị đánh cắp khác nhau tùy từng người, nhưng có thể bao gồm:

• Họ tên và ngày sinh.
• Số an sinh xã hội Mỹ, số giấy phép lái xe, hộ chiếu và các giấy tờ định danh khác do chính phủ cấp.
• Thông tin bảo hiểm y tế, trong đó có mã Medicaid.
• Mã số học sinh.

Frontline cho biết đã thông báo cho các học khu bị ảnh hưởng và phối hợp với họ để liên hệ những người có dữ liệu bị tác động qua thư điện tử hoặc thư gửi qua Bưu chính Mỹ, theo yêu cầu và trong trường hợp có thông tin liên hệ.

Công ty chưa công bố tổng số người có thể bị ảnh hưởng. Tuy nhiên, hồ sơ gửi tới văn phòng tổng chưởng lý ở Massachusetts, New Hampshire, South Carolina, Texas và Vermont ghi nhận 1.298.917 người. Frontline cũng nộp thông báo tại California, Indiana và Iowa; tổng số có thể cao hơn đáng kể 1,3 triệu người, do một số bang không duy trì cổng công khai về vi phạm dữ liệu.

Hỗ trợ theo dõi tín dụng và danh tính

Frontline cung cấp miễn phí dịch vụ theo dõi tín dụng và bảo vệ trước hành vi đánh cắp danh tính trong hai năm cho những người trưởng thành tại Mỹ bị ảnh hưởng. Với trẻ vị thành niên đủ điều kiện, công ty cung cấp dịch vụ theo dõi miễn phí trên web tối.

Góc nhìn

Với các đơn vị giáo dục và nhà cung cấp phần mềm, sự cố nhấn mạnh tầm quan trọng của việc đánh giá rủi ro từ sản phẩm bên thứ ba, nhất là khi chúng có quyền truy cập vào dữ liệu học sinh và nhân viên.

Việc chuẩn bị quy trình ứng phó và thông báo cho người bị ảnh hưởng cũng là một phần thiết yếu trong quản lý sự cố, bên cạnh việc khắc phục lỗ hổng và củng cố hệ thống.