Mathspace数据泄露事件（约108万名学生、家长及教职员工）：家长与学校应采取的措施

Mathspace警告称，姓名、电子邮件地址和账户信息会使冒充行为更具迷惑性，并提醒人们即使消息中使用了您的姓名，或准确提及您的学校或本次事件，也应保持谨慎。为核实，请自行打开Mathspace网站或应用，或使用您在官方网站上单独查到的联系方式（基础知识：什么是网络钓鱼？）。

Mathspace表示，收到消息时切勿透露密码或验证码，如果学生不确定该怎么办，应询问家长、监护人或教师。

孩子往往会听从标有“来自你的老师”或“关于你的作业”的任何要求。如果家中的英文通知难以理解，只要确保孩子明白这一条规则，就已能覆盖大部分风险。

Mathspace不因本次事件要求重置密码，但如果您在其他服务上重复使用了Mathspace密码，请将该密码更换为独一无二的密码。

OAIC同样建议，在联系方式已泄露的情况下，应使用未在其他地方使用过的强电子邮箱密码，并尽可能开启多重身份验证（如何选择密码管理器）。

Mathspace提醒人们注意意料之外的密码重置邮件或账户信息变更，如发现可疑活动，应更改密码并联系公司。

Mathspace建议新建一封邮件发送至 data-breach-response@mathspace.co，而不是直接回复消息；或自行访问其网站并使用支持渠道。公司称，以前或不活跃的用户也可能受到影响，他们同样可以询问。

OAIC推荐澳大利亚政府的诈骗信息网站Scamwatch，帮助您识别诈骗。

新西兰隐私专员办公室表示，您可以联系NCSC获取网络问题的建议；如果您担心身份信息被滥用，可以联系支持服务机构IDCARE。关于儿童网络安全，Mathspace本身建议家长访问澳大利亚的eSafety专员办公室。如果您感到不安全，请联系警方（新西兰报警电话为111）。

据Mathspace称，学校管理人员可联系 data-breach-response@mathspace.co，索取与其学校相关的受影响学生、员工以及家长或监护人的人数，或受影响记录的详情；如需提供个人记录，公司将安排安全的传输方式。

学校也可以索取事件报告或取证报告。

公司表示，泄露的数据不包括将用户账户与学校关联的记录，但对于可识别的电子邮件域名学校，这一点可能成立。预计会出现冒用学校名义的虚假消息，因此请明确告知家长，学校的官方通讯通过哪些渠道发出。

Mathspace称，其已先行通知学校，以便学校与社区协调沟通。请通过学校网站或您常用的家长应用向家长提供事实信息（包括泄露和未泄露的内容）以及上述步骤，并告知他们应通过这些渠道核实，而不是点击通知邮件中的链接。

列出您自行托管的全部软件，包括报告、分析、监控和内部知识库，并注明负责人及其可访问范围（仅内网，或也可从外部访问）。关于如何建立清单，请参阅安全资产清单。

Mathspace称，其漏洞通报流程未能获取该公告，是问题的成因之一。对于清单中的每一项，请确保开发商的安全公告或版本发布说明能够送达负责人。关于确定优先修补顺序，请参阅CVSS、EPSS与KEV。

Mathspace称，其在更新时并未完成建议的额外入侵检查。对于严重级别的漏洞，打补丁并非终点。

运行开发商建议的任何检查，并审查自公告日期起的访问日志，查看是否存在不熟悉的管理员账户或会话，以及大批量导出行为（完整流程请参阅：切实修复依赖项CVE）。

将报告工具的数据库账户设为只读，并限定为仅暴露其所需表和字段的视图。

Mathspace称，已不再使用该服务的人员的信息仍保留在报告数据库中，这正是他们受到影响的原因。对报告不再需要的个人数据制定删除或匿名化规则，可以减少可能泄露的内容。