Frontline Education のデータ侵害、130万人以上に影響

Frontline Education は、データ侵害により個人情報が流出したことを、130万人以上に通知しています。

この事案が発生したのは8月14日です。攻撃者はサードパーティ製ソフトウェアの脆弱性を悪用し、Frontline の環境に不正アクセスしました。

Frontline は、K-12（幼稚園から高校まで）の学区向けに特化した管理ソフトウェアを提供する企業です。同社は問題の欠陥を修正し、セキュリティを強化しました。インシデント通知によると、攻撃は8月15日までに完全に封じ込められたといいます。

データ侵害に関する調査の結果、攻撃者は「Frontline Central」と「School Health Management」の各製品から、学区の職員と児童・生徒双方の個人情報を盗み出したことが判明しました。

盗まれたデータは個人によって異なりますが、氏名、社会保障番号、生年月日、運転免許証番号、パスポートなどの政府発行ID番号、Medicaid ID などの健康保険情報、生徒IDが含まれる可能性があります。

同社は次のように説明しています。「Frontline は影響を受けた学区に通知を行いました。現在は各学区と協力し、個人情報が影響を受けた方々に対し、必要に応じて、また連絡先が判明している範囲で、電子メールまたは米国郵便公社経由の書面で通知を開始しています」

Frontline は影響を受けた可能性のある人数を公表していません。しかし、マサチューセッツ州、ニューハンプシャー州、サウスカロライナ州、テキサス州、バーモント州の司法長官事務所に提出された届出によると、影響を受けたのは1,298,917人です。

一方、同社はカリフォルニア州、インディアナ州、アイオワ州の司法長官事務所にも通知を提出しています。データ侵害の公開ポータルを設けていない他の州にも提出している可能性があり、影響を受けた人の総数は130万人をかなり上回るとみられます。

Frontline は、影響を受けた米国の成人に対し、2年間の無料クレジットモニタリングと個人情報盗難防止サービスを提供します。対象となる未成年者には、無料のダークウェブ監視サービスを提供します。

SecurityWeek は、このデータ侵害に関する追加情報を求めて Frontline にメールで問い合わせました。同社から回答があり次第、本記事を更新します。