Mathspace 資料外洩事件（約108萬名學生、家長及教職員）：家長與學校該怎麼做

Mathspace警告，姓名、電子郵件地址及帳號資訊會讓冒充行為更具說服力，並提醒即使訊息使用您的姓名或正確提及您的學校或本次事件，也應保持警覺。若要確認，請自行開啟Mathspace網站或應用程式，或使用您從官方網站另外查到的聯絡方式（基礎知識：什麼是網路釣魚？）。

Mathspace表示，不要在回覆訊息時透露密碼或驗證碼，並告訴不確定該怎麼做的學生，應詢問家長、監護人或教師。

兒童往往會遵從任何以「老師說的」或「關於功課」為名義的要求。如果家中難以理解英文通知，確保孩子了解這一條規則，就已涵蓋大部分風險。

Mathspace因本次事件不要求重設密碼，但若您在其他服務上重複使用Mathspace密碼，請改用獨一無二的密碼。

OAIC同樣建議，當聯絡資訊外洩時，應使用未在其他地方使用過的強電子郵件密碼，並在可能的情況下開啟多重要素驗證（如何選擇密碼管理工具）。

Mathspace提醒人們注意非預期的密碼重設電子郵件或帳號資訊的變更；若發現可疑活動，應更改密碼並聯絡該公司。

Mathspace表示，請另外撰寫新郵件至 data-breach-response@mathspace.co，而非直接回覆訊息，或自行前往其網站並使用其支援管道。該公司表示，前任或不活躍使用者也可能受影響，他們同樣可以提出詢問。

OAIC推薦Scamwatch（澳洲政府的詐騙資訊網站）協助辨識詐騙。

紐西蘭隱私專員辦公室表示，您可以聯絡NCSC以取得網路問題的建議；若擔心身分遭濫用，則可聯絡支援服務IDCARE。至於兒童網路安全，Mathspace本身建議家長參考澳洲的eSafety專員辦公室。若您感到不安全，請聯絡警方（紐西蘭為111）。

根據Mathspace的說法，學校管理人員可聯絡 data-breach-response@mathspace.co，要求提供與其學校相關的受影響學生、員工及家長或監護人人數，或受影響紀錄的詳細資訊；若需要個別紀錄，該公司將安排安全的分享方式。

學校也可以要求事件或鑑識報告。

該公司表示，外洩資料不包含將使用者帳號與學校連結的紀錄，但對於擁有可辨識電子郵件網域的學校，這仍有可能。預期會出現使用您學校名稱的假訊息，並應明確告訴家長，官方學校通訊會透過哪些管道送達。

Mathspace表示，該公司先通知學校，以便學校與社群協調溝通。請透過學校網站或您平時使用的家長應用程式，向家長說明事實（包含外洩與未外洩的內容）及上述步驟，並請他們透過這些管道核實，而非點擊通知電子郵件中的連結。

列出您自行架設的所有項目，包括報表、分析、監控及內部維基，並註明負責人及可連線的範圍（僅內部，或也可從外部連線）。如何建立清單，請參閱安全盤點。

Mathspace將其漏洞通報流程未能接收到公告列為出錯原因之一。針對盤點清單上的每一項，請確保開發商的安全公告或發布說明會送達負責人。若要決定優先修補順序，請參閱CVSS、EPSS與KEV。

Mathspace表示，更新時並未完成建議的額外入侵檢查。對於嚴重漏洞，套用修補程式並非終點。

請執行開發商建議的任何檢查，並審查自公告日期起的存取紀錄，尋找不明的管理員帳號或工作階段，以及大量匯出的情況（完整流程請參閱：確實修補依賴套件的CVE）。

將報表工具的資料庫帳號設為唯讀，並限制為僅能存取其所需資料表與欄位的檢視表。

Mathspace表示，不再使用服務者的資訊仍保留在報表資料庫中，這也是他們受影響的原因。制定規則，刪除或匿名化報表已不需要的個人資料，可減少可能外洩的範圍。