Bleeping Computer 网站披露，美国非营利性教育机构全国学生信息交换中心（National Student Clearinghouse）近期披露一起数据泄露事件，全美 890 所使用其服务的学校受到影响。

Clearinghouse 为大约 22000 所高中和大约 3600 所高校提供教育报告、数据交换、验证和研究服务。

数据泄露事件可以追踪到 2023 年 5 月 31 日，Clearinghouse  第三方软件供应商 Progress Software 向其通报，该供应商的 MOVEit 传输解决方案存在网络安全问题。得知这一问题后，Clearinghouse 立刻组织顶尖网络安全专家，迅速展开调查分析并与执法部门进行协调。

最终发现被盗文件中包含的个人身份信息（PII）主要包括姓名、出生日期、联系信息、社会保险号、学生证号和一些与学校相关的记录（如注册记录、学位记录和课程数据）。

Clearinghouse 在提交给加州总检察长办公室的一份数据泄露通知函中表示网络攻击者于 5 月 30 日访问了其 MOVEit 托管文件传输（MFT）服务器，并窃取包含大量数据信息的文件。此外，从 Clearinghouse  发布的数据泄露通知函可以得知，受影响的学校在攻击中暴露的数据各不相同。

网络攻击背后的 Clop 勒索软件团伙

5 月 27 日，Clop 勒索软件团伙利用 MOVEit Transfer 安全文件传输平台中的安全漏洞，开始发动大规模数据盗窃攻击活动。从 6 月 15 日开始，网络攻击者开始勒索遭受网络攻击的组织，并在该团伙的暗网数据泄漏网站上公布受害组织的名称。

据悉，此次大规模攻击活动预计影响全球数百家组织，多个美国联邦机构和两个美国能源部（DOE）实体已被证实成为了这次数据盗窃和勒索攻击的“牺牲品”。（许多组织在过去四个月中也已经通知了受影响的客户）尽管潜在受害者人数众多，但 Coveware 估计只有少数受害者可能会屈服于 Clop 的赎金要求。

就算如此，由于赎金要求过高，预计 Clop 勒索软件网络犯罪团伙将收取约 7500 万至 1 亿美元的赎金。

文章来源：

https://www.bleepingcomputer.com/news/security/national-student-clearinghouse-data-breach-impacts-890-schools/