Утечка данных Frontline Education (поставщик школьного ПО): затронуты номера социального страхования, Medicaid ID и студенческие ID — что делать сотрудникам и родителям

Frontline сообщает, что уведомляет людей по электронной почте или почтой США, начиная примерно с 26 октября 2026 года. В её уведомлении указан колл-центр TransUnion 1-800-759-7279, с 8:00 до 20:00 по восточному времени, с понедельника по пятницу, кроме основных праздников США.

BleepingComputer сообщает, что некоторые администраторы округов сначала усомнились в уведомлениях, разосланных через стороннего поставщика услуг рассылки, пока другие не подтвердили их. Если не уверены, откройте страницу уведомления Frontline самостоятельно и сравните, а не переходите по ссылке из сообщения.

Frontline сообщает, что взрослым в США бесплатно предлагаются два года кредитного мониторинга и защиты от кражи личности через TransUnion, а несовершеннолетним — кибермониторинг через TransUnion. На странице об инциденте это сформулировано как мониторинг даркнета для подходящих несовершеннолетних, где он доступен. Инструкции по регистрации есть в вашем уведомлении.

Frontline заявляет, что ни она, ни TransUnion не попросят вас платить за эти услуги. Любую просьбу об оплате считайте мошенничеством.

Заморозка кредита не позволяет кредиторам открывать новый кредит на ваше имя. Федеральная торговая комиссия (FTC) сообщает, что установка и снятие бесплатны и не влияют на ваш кредитный рейтинг; ставится она в каждом из Equifax, Experian и TransUnion.

Для ребёнка младше 16 лет, по данным FTC, можно запросить бесплатную заморозку, причём процедура у каждого бюро своя. Здесь заморозка особенно важна, потому что номер социального страхования входит в элементы данных, которые, по словам компании, были затронуты (у разных людей по-разному). См. также что делать при утечке данных документов, удостоверяющих личность.

Компания сообщает, что Medicaid ID и студенческие ID входят в затронутые элементы данных, у разных людей по-разному. Сообщение, в котором они указаны (или названы имя вашего ребёнка и школа), не доказало своей подлинности. Frontline заявляет, что никогда не звонит и не пишет с просьбой сообщить личные данные или данные учётной записи.

Не переходите по ссылке. Позвоните в свой округ или в государственное ведомство Medicaid по номеру с их официального сайта. Основы — в статье Что такое фишинг?

Frontline советует просматривать выписки по счетам и кредитные отчёты на предмет признаков мошенничества и обращаться в местную полицию при подозрении на кражу личности. На IdentityTheft.gov от FTC есть план восстановления.

Поскольку у некоторых людей Medicaid ID входил в затронутые элементы данных, читайте также выписки о льготах на предмет услуг, которых вы не получали. Налоговая служба США (IRS) предлагает Identity Protection PIN любому владельцу SSN, который может подтвердить личность; это помогает не дать никому подать налоговую декларацию на ваше имя.

Составьте таблицу всех сервисов, где хранятся идентификаторы учащихся или сотрудников: вендор, продукт, какие данные (SSN, Medicaid ID, студенческий ID, дата рождения) и зачем. Начните с вендоров, хранящих SSN или медицинские ID, и спросите, действительно ли нужен каждый элемент. Данные, которые не хранятся, раскрыть нельзя.

В уведомлении Frontline сказано, что сначала она уведомила округа, а в сообщениях прессы описана возможность для округов отказаться от того, чтобы вендор занимался их уведомлениями, до определённой даты. Закрепите в договорах кто уведомляет отдельных людей, кто подаёт заявления регуляторам и в течение скольких дней вас обязаны известить — до того, как случится инцидент.

Уязвимость в ПО поставщика описана как путь в среду вендора. Спросите вендоров, как они отслеживают и обновляют стороннее ПО, которое используют, и как быстро. Основу даёт статья Базовый уровень безопасности для организаций.

Поскольку затронутые данные включают идентификаторы детей, заготовьте текст о том, что округу известно, какие официальные контакты настоящие и что округ не будет просить номера документов по телефону. Ясное сообщение снижает шансы на успех последующих мошенничеств.