PowerSchool, perusahaan teknologi pendidikan besar di AS, baru-baru ini mengungkapkan bahwa data pribadi puluhan juta siswa dan guru terancam bocor setelah terjadi serangan siber dan kebocoran data pada 28 Desember 2024. Kebocoran ini terjadi setelah akun seorang kontraktor mereka diretas. Namun, kejadian terpisah lainnya juga ditemukan, yaitu sebuah komputer milik seorang insinyur PowerSchool yang terinfeksi malware sebelum serangan besar itu, mencuri kata sandi internal perusahaan.
Serangan ini terjadi karena akun pemeliharaan yang tidak dilindungi dengan otentikasi dua faktor (MFA), yang membuat hacker bisa mengakses sistem PowerSchool. Malware yang digunakan untuk meretas ini, LummaC2, berhasil mencuri kata sandi insinyur tersebut dari perangkatnya, termasuk akses ke sistem internal perusahaan seperti Slack, repositori kode sumber, dan layanan cloud AWS yang digunakan oleh PowerSchool.
Data yang dicuri mencakup informasi sensitif seperti nomor jaminan sosial, nilai, data demografis, dan informasi medis siswa. Bahkan, beberapa sekolah melaporkan bahwa data yang dicuri mencakup informasi sangat sensitif, seperti hak akses orang tua dan catatan medis siswa.
Pihak PowerSchool saat ini tengah bekerja sama dengan perusahaan keamanan untuk menyelidiki insiden ini dan melakukan perbaikan. Mereka juga telah melakukan reset kata sandi dan memperketat kontrol akses. Namun, banyak pertanyaan yang belum terjawab tentang sejauh mana kebocoran ini mempengaruhi data siswa dan guru, dan bagaimana perusahaan menangani masalah ini setelahnya.
Ini mengingatkan kita betapa pentingnya perlindungan data pribadi, terutama bagi lembaga pendidikan yang menangani informasi sensitif seperti ini.