Databrud hos Frontline eksponerer oplysninger om elever og ansatte

Databruddet hos Frontline har eksponeret følsomme oplysninger om elever og ansatte i flere skoledistrikter i USA. I en meddelelse den 26. oktober bekræftede leverandøren af uddannelsessoftware, at hændelsen i august påvirkede platformene Frontline Central og School Health Management.

Frontline understøtter mere end 10.000 organisationer inden for grundskole og ungdomsuddannelse og betjener skoler med tilsammen over 50 millioner elever. Disse tal beskriver dog virksomhedens kundekreds, ikke antallet af personer, der er berørt af databruddet.

Sikkerhedsfejl i tredjepartssoftware muliggjorde uautoriseret adgang

Frontline oplyser, at virksomhedens sikkerhedsteam identificerede en sårbarhed i et tredjepartssoftwareprodukt den 14. august. Sikkerhedsfejlen muliggjorde uautoriseret adgang til en del af virksomhedens miljø, og den senest kendte uautoriserede aktivitet fandt sted den 15. august.

De berørte produkter understøtter forskellige funktioner i skolesektoren. Frontline Central håndterer medarbejderoplysninger, mens School Health Management tilbyder værktøjer til dokumentation inden for skolesundhedsplejen.

Efter opdagelsen kontaktede virksomheden politimyndighederne og inddrog eksterne cybersikkerhedsspecialister. Frontline oplyser også, at virksomheden har rettet sårbarheden og styrket sine sikkerheds- og overvågningsforanstaltninger.

Databruddet hos Frontline omfatter elevoplysninger

Tidligere meddelelser den 2. oktober identificerede eksponering af medarbejderoplysninger, herunder oplysninger om administratorer, sygeplejersker og vikarierende lærere. Den seneste meddelelse bekræfter, at elevoplysninger også indgår i de berørte data.

Efter at have gennemgået de berørte filer identificerede Frontline flere kategorier af oplysninger, som potentielt kan være blevet eksponeret:

• Navne, postadresser og e-mailadresser
• Amerikanske personnumre (Social Security-numre) og fødselsdatoer
• Kørekortnumre og pasnumre
• Andre offentligt udstedte identifikationsnumre
• Medicaid-numre og elevidentifikationsnumre

Hvilke oplysninger der er berørt, varierer dog fra person til person. At en datakategori er nævnt i meddelelsen, betyder ikke, at alle berørte personer har fået netop disse oplysninger eksponeret.

Frontline oplyser, at virksomheden er begyndt at underrette berørte personer via e-mail eller brev, hvor det er påkrævet, og hvor kontaktoplysninger er tilgængelige. Det samlede antal berørte elever, ansatte og skoledistrikter er dog fortsat uklart.

Skoledistrikter rapporterer forskelligt omfang af eksponeringen

Flere skoledistrikter har offentliggjort oplysninger om deres egen eksponering, hvilket giver et delvist billede af hændelsens rækkevidde. I Texas rapporterede Killeen Independent School District omkring 45.000 potentielt berørte personer, mens Methuen Public Schools i Massachusetts rapporterede mere end 1.600.

Samtidig oplyste Greenwood School District i South Carolina, at databruddet berørte næsten 17.000 nuværende og tidligere elever. Highline Public Schools i Washington bekræftede også eksponering af visse elev- og medarbejderoplysninger.

Andre skoledistrikter rapporterede om andre forhold. Prince George’s County Public Schools i Maryland oplyste eksempelvis, at hændelsen ikke påvirkede distriktets elevdata.

Disse meddelelser viser, at konsekvenserne varierer mellem skolesystemerne. Derfor giver de tilgængelige tal fra skoledistrikterne ikke et fuldstændigt billede af det samlede antal berørte på landsplan.

Frontline tilbyder overvågning, mens underretningerne fortsætter

Frontline tilbyder berørte voksne to års kreditovervågning og stiller cyberovervågning til rådighed for mindreårige. De individuelle meddelelser skal forklare, hvilke oplysninger der er berørt, og hvilke tjenester der er tilgængelige for hver modtager.

Tidspunktet for underretningerne har også ført til kritik fra personer i uddannelsessektoren. Der gik mere end to måneder mellem indbruddet i august og den seneste offentlige bekræftelse på, at elevoplysninger var blevet eksponeret.

Selvom Frontline oplyser, at virksomheden har gennemført en detaljeret gennemgang af de berørte filer, er det fulde omfang af databruddet hos Frontline fortsat usikkert. Yderligere underretninger kan afklare, hvor mange personer og skoledistrikter hændelsen i sidste ende berørte.