Eine Mathe-Hausaufgaben-App hat gerade die Daten von einer Million Schülern, Eltern und Lehrkräften verloren
Mathspace ist die Art Software, die ein Kind benutzt, ohne dass jemand darüber nachdenkt. Schulen in ganz Australien und Neuseeland geben sie für Mathe-Hausaufgaben aus, die Anmeldedaten landen im Browser des Familien-PCs, und das ist die letzte bewusste Entscheidung, die irgendwer dazu trifft. Am 7. September veröffentlichte das Unternehmen das Ausmaß seines Datenlecks: 1.079.819 Schüler, Schulpersonal und Eltern.
Die Zeitleiste sollte man langsam lesen. Metabase, ein Auswertungswerkzeug, das Mathspace auf eigenen Servern betrieb, veröffentlichte am 6. August ein kritisches Sicherheitsupdate. Ein Angreifer nutzte die ungepatchte Lücke am 10. August für Administratorzugriff, lud die Datenbank am 27. August herunter, und Mathspace installierte das Update am 29. August, zwei Tage nachdem die Daten das Haus verlassen hatten. Bestätigt wurde der Einbruch erst am 3. September. Das Unternehmen führt es auf ein internes Versäumnis beim Umgang mit Sicherheitshinweisen zurück, was eine gepflegte Formulierung für eine Warteschlange ist, die niemand gelesen hat.
Gestohlen wurden Namen, Benutzernamen, E-Mail-Adressen, Nutzertyp, Land, Zeitzone und Anmeldedaten samt Datum. Passwörter, Single-Sign-on-Token und Leistungsdaten waren nicht betroffen, und Mathspace sagt, es gebe keine Anzeichen dafür, dass die Daten verkauft oder veröffentlicht wurden. Trotzdem ist eine Liste von Kindernamen mit passenden Schul-E-Mail-Adressen ein einsatzbereiter Phishing-Baukasten. Das eine Symptom, das man ernst nehmen sollte, ist eine Passwort-Zurücksetzen-Mail, die niemand angefordert hat. Wenn die kommt, klicken Sie darin auf nichts, sondern gehen selbst auf die Seite und prüfen das Konto. Und wenn dasselbe Passwort auch das E-Mail-Konto Ihres Kindes schützt, ändern Sie es heute.
Familien-PCs sammeln Anmeldungen, an die sich niemand erinnert. Die Privatsphäre- und Kontenprüfung von Tendvane listet auf, was auf dem Rechner angemeldet ist, und das ist ein schneller Weg herauszufinden, welche Konten es überhaupt gibt, bevor Sie die suchen, auf die es ankommt.