آنچه پاوراسکول درباره نقض داده‌هایش که میلیون‌ها دانش‌آموز را تحت تأثیر قرار داد، نمی‌گوید

فقط در ماه فوریه هستیم، اما نفوذ اخیر به غول فناوری آموزشی ایالات متحده، پاوراسکول، می‌تواند یکی از بزرگ‌ترین نقض‌های امنیتی سال باشد. این شرکت که نرم‌افزارهای K-12 را به بیش از ۱۸,۰۰۰ مدرسه ارائه می‌دهد و از حدود ۶۰ میلیون دانش‌آموز در سراسر آمریکای شمالی حمایت می‌کند، در اوایل ژانویه به این نقض امنیتی اعتراف کرد. این شرکت مستقر در کالیفرنیا که در سال ۲۰۲۴ به قیمت ۵.۶ میلیارد دلار توسط Bain Capital خریداری شد، اعلام کرد که هکرها از اعتبارنامه‌های به سرقت رفته برای نفوذ به پرتال پشتیبانی مشتریان خود استفاده کرده‌اند و این امر به آن‌ها اجازه دسترسی به سیستم اطلاعات مدرسه پاوراسکول، SIS، را داده است. مدارس از این سیستم برای مدیریت سوابق دانش‌آموزان، نمرات، حضور و غیاب و ثبت‌نام استفاده می‌کنند.

به گفته بته کیبلر، سخنگوی پاوراسکول، “در تاریخ ۲۸ دسامبر ۲۰۲۴، ما از وقوع یک حادثه امنیت سایبری احتمالی که به دسترسی غیرمجاز به اطلاعات خاصی از SIS پاوراسکول مرتبط بود، آگاه شدیم.” پاوراسکول در مورد برخی جنبه‌های این نقض امنیتی به‌روشنی صحبت کرده است. کیبلر به TechCrunch گفت که پرتال پاوراسکول در زمان حادثه از احراز هویت چندعاملی پشتیبانی نمی‌کرد، در حالی که پاوراسکول این ویژگی را داشت. اما سوالات مهمی هنوز بدون پاسخ مانده‌اند.

TechCrunch تعدادی سوالات برجسته درباره این حادثه برای پاوراسکول ارسال کرد که می‌تواند بر میلیون‌ها دانش‌آموز در ایالات متحده تأثیر بگذارد. کیبلر به این سوالات پاسخ نداد و گفت که همه به‌روزرسانی‌های مرتبط با نقض امنیتی در صفحه حادثه شرکت منتشر خواهد شد. در تاریخ ۲۹ ژانویه، این شرکت اعلام کرد که شروع به اطلاع‌رسانی به افراد تحت تأثیر قرار گرفته و مقامات دولتی کرده است.

پاوراسکول به مشتریان خود اطلاع داد که تا اواسط ژانویه گزارشی از حادثه از سوی شرکت امنیت سایبری CrowdStrike که برای بررسی نقض امنیتی استخدام کرده بود، به اشتراک خواهد گذاشت. اما چندین منبع که در مدارس تحت تأثیر این نقض کار می‌کنند، به TechCrunch گفتند که هنوز گزارشی دریافت نکرده‌اند.

سوالات بی‌پاسخ درباره نقض امنیتی پاوراسکول

• تعداد مدارس و دانش‌آموزان تحت تأثیر مشخص نیست: TechCrunch از مدارس تحت تأثیر نقض پاوراسکول شنیده است که مقیاس این نقض می‌تواند “بسیار بزرگ” باشد. با این حال، پاوراسکول به‌طور مکرر از بیان تعداد مدارس و افراد تحت تأثیر خودداری کرده است.
• داده‌های شخصی به سرقت رفته: Bleeping Computer به نقل از چندین منبع گزارش می‌دهد که هکر مسئول نقض پاوراسکول به داده‌های شخصی بیش از ۶۲ میلیون دانش‌آموز و ۹.۵ میلیون معلم دسترسی یافته است. پاوراسکول به‌طور مکرر از تأیید این عدد خودداری کرده است.
• اطلاعات مربوط به انواع داده‌های سرقت شده: ما هنوز نمی‌دانیم چه نوع داده‌هایی در طول نقض امنیتی به سرقت رفته است. در بیانیه‌ای که شرکت در اوایل ژانویه به مشتریان خود ارائه کرد، تأیید کرد که هکر “اطلاعات شخصی حساس” مربوط به دانش‌آموزان و معلمان را به سرقت برده است.
• مقدار داده‌های سرقت شده: هنوز مشخص نیست که چه میزان یا چه نوع داده‌ای در طول نقض امنیتی به سرقت رفته است.
• پرداخت باج به هکر: پاوراسکول به TechCrunch گفت که این سازمان “اقدامات مناسب” را برای جلوگیری از انتشار داده‌های سرقت شده انجام داده است. اما این شرکت از بیان مبلغی که به هکر پرداخت کرده یا مبلغ درخواستی هکر خودداری کرده است.
• شواهد حذف داده‌های سرقت شده: پاوراسکول اعلام کرده که “انتظار ندارد داده‌ها به اشتراک گذاشته شوند یا عمومی شوند” و “باور دارد که داده‌ها بدون هرگونه تکثیر یا انتشار بیشتر حذف شده‌اند”. اما این شرکت به‌طور مکرر از بیان شواهدی که به آن‌ها نشان دهد داده‌های سرقت شده حذف شده‌اند، خودداری کرده است.

پاوراسکول همچنین نمی‌داند که چه کسی پشت این حمله بوده است. یکی از بزرگ‌ترین ناشناخته‌ها درباره حمله سایبری پاوراسکول این است که چه کسی مسئول بوده است. این شرکت با هکر در تماس بوده اما از افشای هویت آن‌ها خودداری کرده است. همچنین نتیجه تحقیقات CrowdStrike در مورد این نقض هنوز در هاله‌ای از ابهام قرار دارد.

آیا اطلاعات بیشتری درباره نقض داده‌های پاوراسکول دارید؟ ما از شنیدن نظرات شما خوشحال خواهیم شد. از یک دستگاه غیرکار، می‌توانید به صورت امن با کارلی پیج در سیگنال تماس بگیرید.