توافق FTC الزام Illuminate به حذف داده‌های غیرضروری دانش‌آموزان را مقرر می‌کند

کمیسیون تجارت فدرال آمریکا (FTC) پیشنهاد کرده است که شرکت ارائه‌دهنده فناوری آموزشی Illuminate Education داده‌های غیرضروری دانش‌آموزان را حذف کرده و امنیت خود را بهبود بخشد تا اتهامات مرتبط با حادثه سال ۲۰۲۱ که اطلاعات ۱۰ میلیون دانش‌آموز را فاش کرد، حل و فصل شود. این تصمیم پس از آن اتخاذ شد که ایالات کالیفرنیا، کانکتیکات و نیویورک پرونده‌های حقوقی خود علیه این شرکت را با پرداخت ۱/۵ میلیون دلار به توافق رساندند. بر اساس گزارش FTC، هکری در دسامبر ۲۰۲۱ با استفاده از اطلاعات ورود یک کارمند سابق که بیش از سه سال قبل شرکت را ترک کرده بود، به سیستم‌های Illuminate دسترسی یافت و اطلاعات شخصی حدود ۱/۱۰ میلیون دانش‌آموز شامل آدرس‌های ایمیل، آدرس‌های فیزیکی، تاریخ تولد، سوابق تحصیلی و اطلاعات مرتبط با سلامت را سرقت کرد.

کمیسیون اعلام کرد که Illuminate علی‌رغم دریافت هشدارهای امنیتی از یک فروشنده شخص ثالث، هیچ اقدامی برای رفع آسیب‌پذیری‌ها انجام نداد و حتی تا ژانویه ۲۰۲۲ به ذخیره‌سازی داده‌های دانش‌آموزان به صورت متن ساده (plain text) ادامه داد. شرکت همچنین در قراردادهای خود ادعاهای نادرستی درباره رویه‌های امنیتی و رمزنگاری داده‌ها مطرح کرده بود. Illuminate دو سال پس از حادثه به مناطق آموزشی آسیب‌دیده اطلاع داد که کاربران را در معرض حملات فیشینگ قرار داد. بر اساس توافق پیشنهادی، شرکت باید برنامه امنیت داده‌ای جامع اجرا کند، داده‌های غیرضروری را حذف کرده، از نمایش نادرست رویه‌های امنیتی خودداری کند و نقض هر مورد از دستور نهایی می‌تواند جریمه‌ای تا ۷۴۴/۵۱ دلار در پی داشته باشد.