Aplikacja do zadań z matematyki straciła dane miliona uczniów, rodziców i nauczycieli

Mathspace to rodzaj oprogramowania, którego dziecko używa bez tego, żeby ktokolwiek się nad tym zastanawiał. Szkoły w całej Australii i Nowej Zelandii rozdają je do zadań domowych z matematyki, dane logowania zostają zapisane w przeglądarce na rodzinnym komputerze i to jest ostatnia świadoma decyzja, jaką ktokolwiek w tej sprawie podejmuje. 7 września firma opublikowała skalę wycieku: 1 079 819 uczniów, pracowników szkół i rodziców.

Kalendarium warto przeczytać powoli. Metabase, narzędzie raportowe, które Mathspace utrzymywał na własnych serwerach, wydało krytyczną poprawkę bezpieczeństwa 6 sierpnia. Napastnik wykorzystał niezałataną lukę, aby uzyskać dostęp administratora 10 sierpnia, pobrał bazę danych 27 sierpnia, a Mathspace zainstalował aktualizację 29 sierpnia, dwa dni po tym, jak dane już wypłynęły. Włamanie potwierdzono dopiero 3 września. Firma tłumaczy je wewnętrznym zaniedbaniem w obsłudze powiadomień o lukach, co jest zgrabnym określeniem kolejki, której nikt nie przeczytał.

Zabrano nazwiska, nazwy użytkowników, adresy e-mail, typ konta, kraj, strefę czasową i daty logowania. Hasła, tokeny pojedynczego logowania i wyniki nauki nie zostały ujawnione, a Mathspace twierdzi, że nie widzi śladów sprzedaży ani publikacji danych. Mimo to lista imion dzieci powiązanych ze szkolnymi adresami e-mail to gotowy zestaw do phishingu. Jedyny objaw, który należy potraktować poważnie, to wiadomość o resetowaniu hasła, o którą nikt nie prosił. Jeśli przyjdzie, nie klikajcie w niej niczego: wejdźcie na stronę samodzielnie i sprawdźcie konto. A jeśli to samo hasło chroni również pocztę waszego dziecka, a nie tylko aplikację z zadaniami, zmieńcie je dzisiaj.

Rodzinne komputery zbierają logowania, o których nikt nie pamięta. Kontrola prywatności i kont w Tendvane wypisuje, co jest zalogowane na komputerze, a to szybki sposób, aby dowiedzieć się, jakie konta w ogóle istnieją, zanim zaczniecie szukać tych naprawdę ważnych.