Es ist erst Februar, aber der jüngste Hackar des Edtech PowerSchool -Riese hat das Potenzial, eine der größten Verstöße des Jahres zu sein.
PowerSchool, das über 18.000 Schulen K-12-Software zur Unterstützung von etwa 60 Millionen Schülern in Nordamerika zur Verfügung stellt, bestätigte den Verstoß Anfang Januar. Die kalifornische Firma, Welches Bain’s Capital im Jahr 2024 für 5,6 Milliarden US -Dollar erworben hatHacker verwendeten engagierte Anmeldeinformationen, um gegen ihr Kundenunterstützungsportal zu verstoßen, und ermöglichten zusätzlichen Zugriff auf das Schulinformationssystem des Unternehmens, PowerSchool SIS, mit dem Schulen Schüleraufzeichnungen, Noten, Teilnahme und Einschreibung verwalten.
„Am 28. Dezember 2024 erfuhren wir von einem potenziellen Vorfall mit Cybersicherheit, bei dem ein nicht autorisierter Zugang zu bestimmten PowerSchool-SIS-Informationen über einen unserer auf Community-fokussierten Kundenportale und PowerSource beinhaltete“, sagte der Sprecher von Powerschool, Beth Keebler, zu Techcrunch.
PowerSchool wurde zu einigen Aspekten des Verstoßes geöffnet. Keebler sagte gegenüber TechCrunch, dass das PowerSource -Portal zum Beispiel getan wurde NEIN Unterstützung Multifaktorielle Authentifizierung zum Zeitpunkt des Vorfalls, während PowerSchool es tat. Einige wichtige Fragen bleiben jedoch unbeantwortet.
TechCrunch hat PowerSchool eine Liste anhängiger Fragen zu dem Vorfall gesendet, die das Potenzial haben, Millionen von Schülern im US -amerikanischen Keebler zu beeinflussen, und die Beantwortung unserer Fragen verweigerten, und sagte, dass alle Verstoß gegen Verstoß in Bezug auf Aktualisierungen veröffentlicht würden in Firmenvorfallseite. Am 29. Januar sagte das Unternehmen das begann, Einzelpersonen zu benachrichtigen betroffen von Verstößen und staatlichen Aufsichtsbehörden.
PowerSchool teilte den Kunden mit, dass es Mitte Januar teilen würde, dass ein Vorfallbericht des Cybersthetic Security Company CrowStrike, das das Unternehmen zur Untersuchung des Verstoßes einstellte. Mehrere Quellen, die in den von dem Verstoß betroffenen Schulen arbeiten, teilten TechCrunch mit, dass sie noch erhalten müssen.
Unternehmenskunden haben auch viele unbeantwortete Fragen, Erzwingen Sie diejenigen, die von der Verletzung betroffen sind, zusammenzuarbeiten, um den Hack zu untersuchen.
Hier sind einige der Fragen, die unbeantwortet bleiben.
Es ist nicht bekannt, wie viele Schulen oder Schüler betroffen sind
TechCrunch hörte Schulen zu, die von der Verstoß gegen den Powerschool betroffen waren, dass seine Skala „massiv“ sein könnte. PowerSchool weigerte sich jedoch wiederholt zu sagen, wie viele Schulen und Einzelpersonen betroffen sind, obwohl er TechCrunch sagte, „identifizierte Schulen und Bezirke, deren Daten an diesem Vorfall beteiligt waren“.
BIPING COMPUTERIn Bezug auf mehrere Quellen berichtet, dass der Hacker, der für Verstöße gegen PowerSchool verantwortlich ist, angeblich auf die personenbezogenen Daten von mehr als 62 Millionen Schülern und 9,5 Millionen Lehrern zugegriffen hat. PowerSchool weigerte sich wiederholt zu bestätigen, dass diese Zahl benötigt wurde.
Obwohl PowerSchool keine Nummer gibt, deuten die jüngsten Registrierungen des Unternehmens bei Staatsanwälten darauf hin, dass Millionen persönliche Informationen im Verstoß gestohlen wurden. Bei einer Registrierung bei beispielsweise bei Texas Generalstaatsanwalt bestätigt PowerSchool, dass fast 800.000 Staatsbewohner Daten gestohlen hatten.
Die Kommunikation von verletzten Schulbezirken gibt eine allgemeine Vorstellung von der Größe des Verstoßes. Der Toronto District School Council (TDSB), Kanadas größter Schulrat, der jedes Jahr rund 240.000 Schüler bedient. sagte der Hacker kann auf rund 40 Jahre Studentendaten zugegriffen haben, mit Daten von fast 1,5 Millionen Schülern, die im Verstoß festgelegt wurden. In ähnlicher Weise der Kalifornien in Menlo Park City Distrikt in Kalifornien bestätigt Die Tatsache, dass der Hacker auf Informationen über alle aktuellen Studenten und Mitarbeiter zugegriffen hat, zählte rund 2.700 Schüler und 400 Leute wie Schüler und Mitarbeiter, die bis zum Beginn des Schuljahres 2009-10 zurückreichen.
Wir wissen immer noch nicht, welche Arten von Daten gestohlen wurden
Wir wissen nicht nur, wie viele Menschen betroffen waren, sondern wir wissen auch nicht, wie viel oder auf welche Arten von Daten während des Verstoßes zugegriffen wurden.
In der gemeinsamen Kommunikation mit seinen Kunden Anfang Januar, gesehen von TechCrunch, bestätigte das Unternehmen, dass der Hacker „sensible persönliche Informationen“ über Schüler und Lehrer, einschließlich der Noten, Teilnahme und Demografie der Schüler, gestohlen hat. Auf der Incident -Seite des Unternehmens heißt es außerdem, dass gestohlene Daten möglicherweise Sozialversicherungsnummern und medizinische Daten enthalten haben, jedoch „aufgrund der Unterschiede in den Kundenanforderungen, die Informationen, die an eine Person gepeppt wurden, haben sich auf unserem Kundenbasis variiert“.
TechCrunch hat auch Er hörte Von den verschiedenen Schulen, die von dem Vorfall betroffen sind, dass „alle“ ihrer historischen Schüler von Schülern und Lehrern kompromittiert wurden.
Eine Person, die in einem betroffenen Schulbezirk arbeitet, teilte TechCrunch mit, dass gestohlene Daten hochempfindliche Studentendaten enthalten, einschließlich Informationen zu den Zugriffsrechten der Eltern für ihre Kinder, einschließlich Einschränkungen und Informationen darüber, wann bestimmte Studenten ihre Medikamente einnehmen müssen.
Eine Quelle, die im Februar mit TechCrunch spricht, ergab, dass PowerSchool die betroffenen Schulen ein „SIS Auto -Service“ -Tool zur Verfügung gestellt hat, mit dem Kundendaten mit den Kundendaten von PowerSchool beraten und zusammengefasst werden können, um anzuzeigen, welche Daten auf ihren Systemen gespeichert sind. PowerSchool teilte den betroffenen Schulen jedoch mit, dass das Tool „keine Daten widerspiegelt, die zum Zeitpunkt des Vorfalls erschöpft waren“.
Es ist nicht bekannt, ob PowerSchool eigene technische Mittel wie Protokolle hat, um festzustellen, welche Arten von Daten aus bestimmten Schulbezirken gestohlen wurden.
PowerSchool hat nicht gesagt
PowerSchool teilte TechCrunch mit, dass die Organisation „geeignete Maßnahmen“ ergriffen habe, um zu verhindern, dass gestohlene Daten veröffentlicht werden. In der gemeinsamen Kommunikation mit Kunden hat das Unternehmen bestätigt, dass es mit einem Cyber -Erpressungsunternehmensunternehmensunternehmen zusammengearbeitet hat, um mit Akteuren der Verstöße zu verhandeln.
Dies bestätigt fast, dass PowerSchool Angreifern, die gegen ihre Systeme verstoßen haben, eine Rettung gezahlt hat. Auf die Frage von TechCrunch weigerte sich das Unternehmen jedoch zu sagen, wie viel bezahlt oder wie viel Hacker gefordert hatte.
Wir wissen nicht, welche Beweise PowerSchool erhalten haben, dass die gestohlenen Daten ausgeschlossen wurden
Keebler von Powerschool sagte gegenüber TechCrunch, dass das Unternehmen „keine Daten erwartet, die freigegeben oder veröffentlicht werden“ und „glaubt, dass die Daten ohne weitere Replikation oder Verbreitung gelöscht wurden“.
Das Unternehmen weigerte sich jedoch wiederholt zu sagen, dass Beweise dafür erhalten wurden, dass die gestohlenen Daten ausgeschlossen wurden. Früh Berichte Er sagte, das Unternehmen habe Videotest erhalten, aber PowerSchool habe nicht bestätigt oder bestritten, als er von TechCrunch angefordert wurde.
Trotzdem ist der Nachweis des Ausschlusses keineswegs eine Garantie dafür, dass der Hacker noch nicht im Besitz der Daten ist. Die jüngste Entfernung des Königreichs Die Bande hatte immer noch Daten, die Opfer gehörten, die eine Rettungsnachfrage bezahlten.
Wir wissen immer noch nicht, wer hinter dem Angriff stand
Einer der größten Unbekannten über PowerSchool Cyberangriff ist derjenige, der verantwortlich war. Das Unternehmen ist in Verbindung mit dem Hacker, hat sich jedoch geweigert, seine bekannte Identität zu enthüllen. CyberSward, die Organisation für kanadische Vorfälle, mit denen PowerSchool arbeitete, beantwortete die Fragen von TechCrunch nicht.
Die Ergebnisse der CrowndStrike -Untersuchung bleiben ein Rätsel
PowerSchool arbeitet mit der CrowdsStrike -Reaktionsgesellschaft zusammen, um den Verstoß zu untersuchen. PowerSchool -Kunden wurden darüber informiert, dass das Sicherheitsunternehmen Entdeckungen am 17. Januar veröffentlicht werden. Der Bericht wurde jedoch noch nicht veröffentlicht und betroffene Schulbezirke mitgeteilt TechCrunch, dass sie den Bericht noch nicht gesehen haben. CrowStrike weigerte sich, auf Anfrage von TechCrunch zu kommentieren.
Crowdstrike veröffentlichte im Januar einen vorläufigen Bericht, den TechCrunch sah, aber keine neuen Details über den Verstoß enthielt.
Haben Sie weitere Informationen zu Datenverletzung von PowerSchool? Wir würden gerne viel von Ihnen hören. Aus einem nicht arbeitenden Gerät können Sie sich bei der Signal bei +44 1536 853968 oder per E-Mail an die Carly-Seite wenden Sie sich sicher am Signal. carly.page@techcrunch.com.
