Ubeskyttet database gjør personlige opplysninger om studenter med spesielle behov sårbare

Ubeskyttet database gjør personlige opplysninger om studenter med spesielle behov sårbare

Tidsstempel: 29. mars 2023 11:07

Tyler Cross Tyler Cross
Publisert på: Mars 29, 2023 Ubeskyttet database gjør personlige opplysninger om studenter med spesielle behov sårbare

Forskere ved vpnMentor har snublet over en usikret database som inneholder sensitive personlige opplysninger om elever med spesielle behov og deres foreldre.

Den ferske rapporten fremhever at denne databasen, som ikke var passordbeskyttet, inneholdt rundt 50,000 XNUMX fakturaer knyttet til Encore Support Services, et selskap som tilbyr spesialundervisning og atferdshelsetjenester.

Den eksponerte databasen inneholdt en rekke personlig identifiserbar informasjon relatert til elever og foreldre som går på offentlige skoler i New York. Med over 47 000 varer på totalt nesten 7 GB – noen av disse postene går tilbake så langt som til 2018 – illustrerer rapporten risikoen for offentlig sikkerhet.

Databasen avslørte også tjenestetyper som kan antyde et barns funksjonshemming, sammen med notater om medisinsk behandling eller tjenester gitt enten på skolen eller hjemme. Dette avslørte sensitive detaljer som navn og hjemmeadresser til foreldre. Fakturaene inneholdt leverandørinformasjon, EIN/SSN-avgiftsidentifikasjon, faktureringstimer og servicekostnader.

Disse tjenestene ble levert basert på studentens spesifikke behov, med fakturaene som viser et "Tjenestetype"-felt som potensielt kan indikere årsaken til å motta spesielle behovstjenester eller tilleggsmedisinske data om studentene. Dette betyr at all informasjon er fullstendig eksponert.

Selv om forskere ikke kan bekrefte om nettkriminelle eller andre uautoriserte personer fikk tilgang til de eksponerte dataene, utgjør offentlig tilgjengelighet betydelig risiko for de berørte. Nettkriminelle kan sikte mot foreldre eller foresatte for å skaffe seg sensitiv informasjon, som kan brukes til identitetstyveri.

Kriminelle kunne da bruke ulike sosiale ingeniørstrategier for å true familiens identitet. De kan for eksempel utgi seg for å være en Encore Support Services-ansatt eller en skolerepresentant. Etter å ha kontaktet forelderen og bedt om personlig informasjon som et barns personnummer eller kredittkortinformasjon for en påstått liten betaling, kan de bruke denne informasjonen til ytterligere identitetstyveri, og potensielt stjele fra dem uten at de merker det.

Tidstempel:

Mer fra Sikkerhetsdetektiver