从恶作剧到恶意软件：ICO警告学校防范学生黑客

英国信息专员办公室（ICO）发布的最新研究指出，学校应将学生视为"内部威胁"。

数据泄露现状

根据ICO对2022年1月至2024年8月期间215起数据泄露报告的分析：

• 教育行业57%的数据泄露报告归咎于学生
• 近三分之一（30%）的内部攻击涉及密码被盗或猜解
• 其中97%的密码相关泄露由学生实施

具体攻击类型分析

在215份报告中：

• 23% 由薄弱的数据保护实践导致，包括员工无正当理由访问数据、设备无人看管或允许学生使用教职设备
• 20% 涉及员工将数据发送至个人设备
• 17% 因访问权限配置错误造成，如SharePoint配置过于宽松
• 5% 涉及内部人员（学生或员工）故意绕过安全控制

真实案例揭示

ICO分享了多个学生造成的安全事件：

• 三名11年级学生通过下载网络密码破解工具，访问了包含1400多名学生个人信息的学校管理系统
• 一名学生使用教职员工登录凭证侵入学院管理系统，篡改了9000多名教职员工、学生和申请人的个人数据

更广泛的网络安全威胁

英国国家犯罪 agency（NCA）最近警告：

• 10-16岁儿童中，五分之一曾参与在线非法活动
• 参与NCA"网络选择"计划的最小年龄仅7岁

防护建议

技术层面：

• 实施强密码策略
• 启用多因素认证
• 加强访问控制，确保仅限必要数据访问
• 禁止学生使用教职设备，加强共享设备管理

教育层面：

• 通过"网络选择"等项目教育青少年合法使用技术
• 加强家长参与，引导孩子认识网络行为边界
• 为有兴趣的学生提供合法的网络安全职业发展途径

总结

学校远非内部威胁的免疫区，反而可能成为不当网络行为的热点区域。仅靠惩罚并非解决之道，更好的防御体系、沟通机制和青少年指导才是关键。