Password democratiche: una scuola statunitense effettua il reset con la stessa password a tutti gli studenti!

La scorsa settimana, i genitori degli studenti della Oak Park e della River Forest High School (OPRFHS) in Illinois hanno ricevuto una lettera dall’amministrazione scolastica in cui si afferma che durante un controllo sulla sicurezza informatica, “a causa di un errore imprevisto del fornitore, il sistema ha reimpostato la password di ogni studente“, impedendo loro l’accesso al proprio account Google.

“Per risolvere questo problema, reimposteremo nuovamente la password di tuo figlio su “Ch@ngeme!” in modo che possa accedere nuovamente al proprio account Google. 

“Il cambio della password avverrà oggi alle 16:00”, ha scritto la scuola, che conta circa 3.000 studenti, in una lettera del 22 giugno ai genitori. “Incoraggiamo vivamente tuo figlio a cambiare questa password con la propria password univoca il prima possibile.”

Non è difficile indovinare che fornire a tutti gli studenti la stessa password non è chiaramente il modo in cui un’organizzazione dovrebbe imporre il ripristino delle credenziali. 

In genere, questa procedura disconnetterà gli utenti e chiederà loro di modificare la password al successivo tentativo di accesso.

Manning Peterson, la madre di uno degli studenti dell’OPRFHS, ha risposto che “questo è terribilmente insicuro“, poiché tutte le famiglie degli studenti hanno ricevuto una lettera del genere. Peterson ha anche aggiunto che dopo aver ricevuto l’e-mail, ha provato a reimpostare la password di suo figlio, ma non è stata in grado di farlo.

“Mio figlio ed io siamo stati in grado di accedere a più account Google dei suoi compagni di classe, che ci hanno dato accesso a tutte le e-mail, il lavoro, i compiti in classe – tutto ciò che è salvato su Google Drive (documenti, fogli di lavoro e presentazioni)”, ha scritto la madre del bambino, dinistrando la ineguatezza della soluzione.

Il giorno successivo, l’amministrazione scolastica si è resa conto del proprio errore e ha informato i genitori in una lettera. Il Dipartimento di tecnologia educativa avrebbe nuovamente avviato il processo di modifica delle credenziali durante il fine settimana. Questa volta, a ogni studente è stata promessa la propria password univoca.

Date le difficoltà incontrate dai genitori degli studenti nel processo di modifica della password il 22 giugno, si può presumere che poche persone siano riuscite a cambiarla. Pertanto, per almeno alcuni giorni, gli studenti hanno potuto accedere liberamente ai reciproci account.

Bene, se non ci fossero dati riservati, come foto, video, note personali. E se ci fossero? Al liceo, i bambini potrebbero avere anche i propri segreti che è meglio non rivelare a tutti.

Greg Johnson, CEO di OPRFHS, e il suo vice, Linda Parker, non hanno risposto a molteplici richieste di commenti via e-mail da parte dei media locali.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Pietro Melillo

Membro e Riferimento del gruppo di Red Hot Cyber Dark Lab, è un ingegnere Informatico specializzato in Cyber Security con una profonda passione per l’Hacking e la tecnologia, attualmente CISO di WURTH Italia, è stato responsabile dei servizi di Cyber Threat Intelligence & Dark Web analysis in IBM, svolge attività di ricerca e docenza su tematiche di Cyber Threat Intelligence presso l’Università del Sannio, come Ph.D, autore di paper scientifici e sviluppo di strumenti a supporto delle attività di cybersecurity. Dirige il Team di CTI "RHC DarkLab"

Aree di competenza: Cyber Threat Intelligence, Ransomware, Sicurezza nazionale, Formazione