Teksas Başsavcısı Ken Paxton, Aralık ayında 880.000’den fazla Teksaslı da dahil olmak üzere 62 milyon öğrencinin kişisel bilgilerini ortaya çıkaran büyük bir veri ihlali geçiren eğitim yazılımı şirketi Powerschool’a karşı dava açtı.
PowerSchool, 18.000’den fazla müşterisi olan ve dünya çapında 60 milyondan fazla öğrenciyi destekleyen K-12 okulları ve bölgeleri için bulut tabanlı bir yazılım çözümleri sağlayıcısıdır.
Ocak ayında, eğitim yazılımı devi, PowerSource Müşteri Destek Portalının bir taşeronun çalınan kimlik bilgileri kullanılarak 19 Aralık 2024’te ihlal edildiğini açıkladı. Saldırgan, 28 Aralık 2024’te Bitcoin’de tam isimleri, fiziksel adresleri, telefon numaralarını, şifreleri, ebeveyn bilgilerini, iletişim bilgilerini, sosyal güvenlik numaralarını ve etkilenen öğrencilerin ve öğretim üyelerinin tıbbi verilerini çaldıktan sonra 2.85 milyon dolarlık bir fidye istedi.
BleepingComputer’ın ilk bildirdiği gibi, Aralık 2024 Powerschool Breach’in arkasındaki tehdit oyuncusu, ABD, Kanada ve diğer ülkelerdeki 6.505 okul bölgesinden 62.4 milyon öğrencinin ve 9.5 milyon öğretmenin kişisel verilerini çaldığını iddia etti.
Teksas Avukatının ofisi, “Powerschool’un başarısızlıkları, hem Teksas aldatıcı ticaret uygulamaları Yasasını hem de kimlik hırsızlığı uygulama ve koruma yasasını, müşterileri güvenlik uygulamaları hakkında yanıltıcı olarak ihlal ediyor ve Teksas aileleri ve okul bölgeleri tarafından emanet edilen hassas bilgileri korumak için makul önlemler alamıyor.” Dedi.
“Big Tech, güvenlik üzerindeki köşeleri keserken çocuk verilerini yönetebileceklerini düşünüyorsa, ölüler yanlıştır. Ebeveynler, çocuklarını okula kaydettirmek için sağladıkları bilgilerin çalınabilir ve yanlış kullanılabilir.
Saldırgan okulları dışarıya çıkarıyor, suçlu olduğunu iddia ediyor
Müşterilerle paylaşılan ve o sırada BleepingComputer tarafından gözden geçirilen özel bir SSS’de PowerSchool, verilerin açıklanmasını durdurmak için fidye ödemesi yaptığını ve saldırgandan çalınan verilerin silindiğini iddia eden bir video aldığını kabul etti.
Bununla birlikte, tehdit oyuncusu, Mayıs ayı başlarında okul bölgelerini bireysel olarak zorlamaya başladığı için vaatlerini tutmadı ve fidye ödenmezse daha önce çalınan öğrenci ve öğretmen verilerini serbest bırakmakla tehdit etti.
O ayın ilerleyen saatlerinde, Worcester, Massachusetts’ten 19 yaşındaki üniversite öğrencisi Matthew D. Lane, diğer birkaç komplocu yardımıyla Powerschool’daki büyük siber saldırıyı düzenlemekten suçlu bulundu.
Okul bildirimlerine ve bir Databreaches.net raporuna göre, yüz milyonlarca insanı etkileyen çok çeşitli ihlallerle bağlantılı yüksek profilli bir tehdit aktörü olan Shinyhunters’dan olduğu iddia edilen okul bölgelerine gönderilen fidye talepleri.
Mart ayında Powerschool, olayla ilgili bir Crowdstrike soruşturması da yayınladı ve bu da tehdit aktörlerinin Ağustos ve Eylül 2024’te PowerSource’u da aynı tehlike altına alınan kimlik bilgilerini kullanarak ihlal ettiğini ortaya koydu. Ancak, siber güvenlik şirketi aynı saldırganın üç ihlalden de sorumlu olduğuna dair kanıt bulamadı.
Ortamların% 46’sı şifreleri çatladı, geçen yıl neredeyse% 25’ten iki katına çıktı.
Önleme, algılama ve veri açığa çıkma eğilimleri hakkında daha fazla bulgua kapsamlı bir bakış için Picus Blue Report 2025’i şimdi alın.