Un'app per i compiti di matematica ha appena perso i dati di un milione di studenti, genitori e insegnanti
Mathspace è il genere di software che un bambino usa senza che nessuno ci pensi. Le scuole di tutta l'Australia e della Nuova Zelanda lo distribuiscono per i compiti di matematica, le credenziali finiscono salvate nel browser del PC di famiglia, e quella è l'ultima decisione consapevole che qualcuno prende al riguardo. Il 7 settembre l'azienda ha pubblicato le dimensioni della violazione: 1.079.819 studenti, personale scolastico e genitori.
La cronologia va letta con calma. Metabase, uno strumento di reportistica che Mathspace ospitava sui propri server, ha pubblicato una patch di sicurezza critica il 6 agosto. Un attaccante ha sfruttato la falla non corretta per ottenere l'accesso da amministratore il 10 agosto, ha scaricato la banca dati il 27 agosto, e Mathspace ha installato l'aggiornamento il 29 agosto, due giorni dopo che i dati erano già usciti. L'intrusione è stata confermata solo il 3 settembre. L'azienda la attribuisce a una disattenzione interna nella gestione degli avvisi di vulnerabilità, formula elegante per una coda che nessuno ha letto.
Sono stati presi nomi, nomi utente, indirizzi e-mail, tipo di utente, paese, fuso orario e date di accesso. Password, token di single sign-on e risultati scolastici non sono stati esposti, e Mathspace dice di non aver visto segni di vendita o pubblicazione dei dati. Resta il fatto che un elenco di nomi di bambini abbinati a indirizzi e-mail scolastici è un kit di phishing pronto all'uso. L'unico sintomo da prendere sul serio è un'e-mail di reimpostazione password che nessuno ha chiesto. Se arriva, non cliccate niente al suo interno: andate voi sul sito e controllate l'account. E se la stessa password protegge anche la posta di vostro figlio oltre all'app dei compiti, cambiatela oggi.
I PC di famiglia accumulano accessi che nessuno ricorda di aver fatto. Il controllo Privacy e account di Tendvane elenca cosa risulta connesso sulla macchina, ed è un modo rapido per scoprire quali account esistono davvero prima di andare a cercare quelli che contano.