Oskyddad databas gör personliga uppgifter om elever med särskilda behov sårbara

Oskyddad databas gör personliga uppgifter om elever med särskilda behov sårbara

Tidsstämpel: 29 mars 2023 11:07

Tyler Cross Tyler Cross
Publicerad på: Mars 29, 2023 Oskyddad databas gör personliga uppgifter om elever med särskilda behov sårbara

Forskare vid vpnMentor har snubblat över en osäkrad databas som innehåller känsliga personliga register över elever med särskilda behov och deras föräldrar.

Den senaste rapporten visar att denna databas, som inte var lösenordsskyddad, innehöll omkring 50,000 XNUMX fakturor kopplade till Encore Support Services, ett företag som erbjuder specialundervisning och beteendevård.

Den exponerade databasen innehöll en mängd personligt identifierbar information relaterad till elever och föräldrar som går i offentliga skolor i New York. Med över 47 000 föremål på totalt nästan 7 GB – några av dessa register går tillbaka så långt tillbaka som till 2018 – visar rapporten risken för den allmänna säkerheten.

Databasen avslöjade också tjänstetyper som kan antyda ett barns funktionshinder, tillsammans med anteckningar om sjukvård eller tjänster som tillhandahålls antingen i skolan eller hemma. Detta avslöjade känsliga detaljer som föräldrars namn och hemadresser. Fakturorna innehöll leverantörsinformation, EIN/SSN-skatteidentifikation, faktureringstimmar och servicekostnader.

Dessa tjänster tillhandahölls baserat på studentens specifika behov, där fakturorna visade ett "Service Type"-fält som potentiellt skulle kunna indikera anledningen till att man fick specialbehovstjänster eller ytterligare medicinska uppgifter om studenterna. Detta innebär att all information är helt exponerad.

Även om forskare inte kan bekräfta om cyberbrottslingar eller andra obehöriga personer fick tillgång till de exponerade uppgifterna, utgör dess offentliga tillgänglighet betydande risker för de som drabbas. Cyberbrottslingar kan rikta in sig på föräldrar eller vårdnadshavare för att skaffa känslig information, som kan användas för identitetsstöld.

Brottslingar kunde sedan använda olika sociala ingenjörsstrategier för att hota familjens identitet. De kan till exempel låtsas vara en Encore Support Services-anställd eller en skolrepresentant. Efter att ha kontaktat föräldern och begärt personlig information som ett barns personnummer eller kreditkortsuppgifter för en påstådd liten betalning, kan de använda den informationen för ytterligare identitetsstöld och eventuellt stjäla från dem utan att de märker det.

Tidsstämpel:

Mer från Säkerhetsdetektiver