ShinyHunters hackt gegevens van 275 miljoen docenten en studenten

Ik merk gewoon dat onderwijssoftware altijd “handig en goedkoop” moet zijn tot het misgaat, en dan liggen ineens mailadressen, cijfers en misschien zelfs ID’s op straat van een halve wereldbevolking. 275 miljoen is toch geen incident meer hè, dan wil ik vooral weten wie er straks betaalt voor monitoring en herstel, want dat wordt weer doorgeschoven naar scholen en dus ouders.

het probleem is dat we onderwijssoftware behandelen als “kantoortool”, terwijl het feitelijk kritieke infrastructuur is met levensloopdata (cijfers, dossiers, soms zelfs zorg/aanpassingen) en die rommel blijft jaren rondzwerven in backups en exports. de oplossing is dat scholen en leveranciers data-minimalisatie en harde bewaartermijnen afdwingen + standaard encryptie en logging, en vooral: verplicht melden wát er precies is buitgemaakt en wie er toegang had, anders kun je als student/docent niks mitigeren en blijft het bij wat PR-teksten en een gratis jaar credit monitoring...

275 miljoen “records” is meestal marketing voor paniek: één student staat 20x in exports/logs/backups, dus het echte issue is niet het getal maar dat ze blijkbaar een data-lake hebben waar je met één misconfig of gestolen token doorheen kunt stofzuigen. simpel: als je Canvas gebruikt, ga er maar vanuit dat álle historische cursusdata en attachments (pdf’jes, feedback, soms zelfs scans/ID’s) mee zijn gegaan, want niemand zet retention op “minimaal” als de default “bewaar alles voor analytics” is. en credit monitoring is leuk, maar het echte herstel is keys roteren, SSO/OAuth apps doorlichten en vooral: stop met docenten alles in Canvas te laten uploaden alsof het een archief is, het is een tool, geen kluis.

Wat me hier vooral aan irriteert: je kunt als student/docent letterlijk niks zelf doen, want je hebt geen “account” bij Instructure maar je data hangt er wel… slechte UX van verantwoordelijkheid. Geef mensen dan op z’n minst een simpel portaal waar je ziet wélke velden van jou gelekt zijn en waar je meteen je exports/attachments kunt laten verwijderen, anders is het weer: we mailen “sorry” en succes ermee.

275 miljoen is precies waarom “centrale SaaS voor onderwijs” zo’n single point of failure is: één vendor pakt de hele wereld in één blast radius, en daarna krijg je weer een sorry-mailtje terwijl je als student nul rechten hebt om je data te killen. maybe tijd voor EU/NL om open standaarden + data portability af te dwingen zodat scholen kunnen switchen zonder vendor lock-in, want nu is het gewoon: je zit in hun cloud en hopen dat hun security team niet op vakantie was.