Vi phạm dữ liệu Hồ sơ sinh viên tại Đại học Stanford, làm lộ Thông tin cá nhân

Một lỗ hổng của bên thứ ba làm lộ hồ sơ nhập học, bài tiểu luận, bảng điểm và thông tin cá nhân nhạy cảm của sinh viên Đại học Stanford, bao gồm số An sinh Xã hội, dân tộc, tình trạng, địa chỉ, quốc tịch, hồ sơ tội phạm và tình hình tài chính, Viết trên tạp chí Stanford Daily.

Trường đại học đã sử dụng NolijWeb, hệ thống quản lý nội dung dễ bị tấn công, trong khoảng 10 năm nhưng hiện tại có kế hoạch tìm một nền tảng khác để lưu trữ các tệp tin của mình. NolijWeb là một nền tảng rất phổ biến giữa các trường học và đại học để cho phép sinh viên truy cập các tệp của trường và các tổ chức khác có thể xử lý cùng một lỗ hổng tương tự.

Trục trặc rõ ràng đã làm rò rỉ hồ sơ của học sinh kể từ năm 2015. Học sinh đã gửi yêu cầu theo Đạo luật về quyền riêng tư và quyền giáo dục gia đình (FERPA) không chỉ có thể xem hồ sơ giáo dục của chính họ, mà cả những học sinh khác. Lỗ hổng được phát hiện và điều tra bởi một sinh viên có quyền truy cập vào dữ liệu bằng cách thay đổi số ID trong URL. "Nó có thể đã bị thao túng bởi bất cứ ai có kinh nghiệm phát triển web," sinh viên giải thích.

"Đó không là thứ gì tinh vi. Bạn thay đổi ID một chút và nó cung cấp cho bạn một người khác," học sinh nói.

Trong quá trình điều tra, sinh viên đã xem xét 81 hồ sơ sinh viên trong khoảng thời gian từ 28 đến 29 tháng 1, nhưng sự cố an ninh đã được giảm nhẹ trong thời gian đó. Tổng cộng, 93 sinh viên đã bị ảnh hưởng bởi vi phạm và sẽ được thông báo bởi các trường đại học.

Theo người phát ngôn của Stanford, Brad Hayward, cho đến nay, không có "trường hợp nào khác của chế độ xem trái phép trên mạng" đã được phát hiện.

"Khai thác lỗ hổng này đòi hỏi phải có thông tin đăng nhập của sinh viên và kiến thức cụ thể về ứng dụng cơ bản của ứng dụng," Hayward viết cho tờ Stanford Daily. "Chúng tôi tin rằng đây là báo cáo đầu tiên về vấn đề này. Chúng tôi rất tiếc về lỗ hổng này trong hệ thống của chúng tôi và xin lỗi những người có hồ sơ được xem không phù hợp. Chúng tôi đã nỗ lực khắc phục tình trạng này nhanh nhất có thể và sẽ tiếp tục làm việc để bảo vệ tốt hơn các hệ thống và dữ liệu của chúng tôi."

Ngay khi phát hiện trục trặc, nền tảng đã bị vô hiệu hóa cho đến khi có thông báo mới.