米国の教育テクノロジー巨大企業PowerSchoolは、昨年12月の「大規模な」データ侵害の前に数ヶ月前にハッカーによって侵害されました。これは、米国のサイバーセキュリティ会社CrowdStrikeによって実施されたこの事件の現在公表された検証レポートによるところです。
先週TechCrunchが確認した影響を受けた顧客へ送られた手紙によると、PowerSchoolは調査の結果、同社のネットワークが「12月より前に権限のない活動を経験したことが明らかになりました。」とCrowdStrikeは2024年8月まで遡ると述べています。
PowerSchoolは以前に、そのシステムへの不正アクセスを2024年12月19日から12月28日に発見するまでの期間を発見した旨を述べています。
CrowdStrikeのレポートによると、ハッカーは2024年8月16日から9月17日の間、12月の侵害に使用された同じ侵害されたサポート資格情報を使用してPowerSchoolのネットワークにアクセスしました。これらの資格情報はPowerSchool PowerSourceにアクセスするために使用されました。PowerSourceは、「十分な権限を持つサポート技術者が、メンテナンス目的で顧客のSISデータベースインスタンスにアクセスできる」ものです。
CrowdStrikeは、「PowerSchoolのログデータが十分に遡れなかった」ため、12月の活動を担当する脅威アクターにこの活動を帰属する十分な証拠を見つけることができませんでした。ただし、CrowdStrikeの調査結果から、侵害された資格情報が早急に変更されていれば、PowerSchoolの12月の侵害を防ぐことができた可能性があると述べています。
月曜日にTechCrunchから尋ねられた際、PowerSchoolの広報担当者Beth Keeblerは、CrowdStrikeのレポートが公開される前に同社がネットワークへのこのより早いアクセスについて知っていたかどうかを明らかにしないと述べました。
PowerSchoolの侵害に関してはまだ多くの疑問が残っています。個人の総数について正確な数字を提供することを繰り返し拒否しているPowerSchoolですが、報告では6000万人以上の学生の個人情報がアクセスされたとされています。
