修正が出ると、数日で狙われる——数学学習サービスMathspaceの社内集計ツールからの情報漏えいと、保護者・学校がやること

Mathspaceは、名前やメールアドレス、アカウントの情報があるとなりすましの連絡が本物らしくなるとし、あなたの名前や学校、この事案に正しく触れている連絡でも注意するよう呼びかけています。確かめるときは、自分でMathspaceのウェブサイトやアプリを開くか、公式サイトで調べた連絡先を使ってください（見分け方の基本は フィッシングとは）。

Mathspaceは、連絡に応じてパスワードや確認コードを教えないよう案内し、生徒にはわからなければ保護者や先生に聞くよう呼びかけています。子どもは「先生から」「宿題の件で」と言われると従いがちです。英語の通知が読みにくいご家庭では、この1点だけでも子どもの言葉で伝えておくと効きます。

Mathspaceは、この事案でのパスワードの再設定は求めていません。ただしMathspaceと同じパスワードをほかのサービスで使っている場合は、そちらを別のパスワードに変えるよう勧めています。OAICも、連絡先が漏れたときはメールのパスワードを使い回しのない強いものにし、使えるなら多要素認証を有効にするよう案内しています（パスワードマネージャーの選び方）。

Mathspaceは、予期しないパスワード再設定のメールや、アカウントの情報の変更に注意し、不審な動きがあればパスワードを変えて同社に連絡するよう案内しています。

Mathspaceは、届いたメールに返信するのではなく、新しいメールを作って data-breach-response@mathspace.co に送るか、自分で同社のウェブサイトを開いてサポート窓口を使うよう案内しています。いまは使っていない人や学校を離れた人も対象になり得るとしており、確認できます。

OAICは、詐欺の見分け方についてScamwatch（豪政府の詐欺情報サイト）を案内しています。ニュージーランドのプライバシー・コミッショナー事務局は、サイバーの問題なら国家サイバーセキュリティセンター（NCSC）に相談でき、身元の悪用が心配なら支援団体IDCAREがあるとしています。子どものネットの安全については、MathspaceもオーストラリアのeSafety Commissionerのサイトを案内しています。身の危険を感じるときは警察へ（NZは111）。

Mathspaceによれば、学校の管理者は data-breach-response@mathspace.co に、自校に関わる生徒・教職員・保護者の人数や記録の詳細を問い合わせることができ、個人の記録が必要な場合は安全な方法で共有を調整するとしています。事案の報告書やフォレンジックの報告書を求めることもできます。

同社は、流出したデータにアカウントと学校を結びつける記録は含まれないとしつつ、学校のメールドメインで学校がわかる場合は結びつけられる可能性があると説明しています。学校名を名乗る偽の連絡を想定し、保護者への連絡に「学校からの正式な連絡は○○だけで届く」と明記してください。

Mathspaceは、学校が地域への連絡を調整できるよう先に学校へ通知したと説明しています。保護者には、学校の公式サイトやいつもの連絡アプリで、事実（何が含まれ、何が含まれないか）と、上の「やること」を伝えます。通知のメールに書かれたリンクではなく、公式の経路で確かめるよう添えます。

集計、分析、監視、社内Wikiなど、自分たちで動かしているソフトウェアを洗い出し、担当者と、どこから届くか（社内だけか、外からも届くか）を書きます。台帳の作り方は セキュリティの棚卸し で扱っています。

同社は、自社の脆弱性の通知の仕組みが勧告を拾えなかったことを原因の1つに挙げています。台帳の各ソフトウェアについて、開発元のセキュリティ勧告やリリースの通知を担当者が受け取る設定にします。どれから直すかの決め方は CVSS・EPSS・KEVの使い分け へ。

同社は、更新の時点で推奨されていた侵入の有無の確認を行わなかったとしています。重大な脆弱性では、修正の適用はゴールではありません。開発元が勧める確認の手順があれば実行し、勧告の公開日以降のアクセスログで、見覚えのない管理者アカウントやセッション、大量の取り出しがないかを見ます（手順の全体は 脆弱性（CVE）対応の実務）。

集計ツールの接続アカウントは読み取り専用にし、必要な表や列だけが見えるビューに限ります。同社は、使われなくなった人の情報も集計用データベースに残っていたため対象になったと説明しています。集計に要らなくなった個人の情報を消す・匿名にするルールを決めておくと、漏れたときの範囲が小さくなります。